Eine massive Kampagne mit 737 gefälschten Chrome-VPN-Erweiterungen zielt hauptsächlich auf russischsprachige Nutzer ab, die auf der Suche nach einer Umgehung von Zensurmaßnahmen sind. Statt des versprochenen Schutzes leiten die Add-Ons den gesamten Browserverkehr über vom Angreifer kontrollierte Proxy-Server um, was einer vollständigen Man-in-the-Middle-Überwachung gleichkommt. Die Sicherheitsfirma Socket deckte auf, dass die Erweiterungen über mindestens 40 verschiedene Entwicklerkonten im Chrome Web Store verteilt wurden.
Infrastruktur auf identischen SOCKS5-Servern
Die Analyse der Erweiterungen offenbart ein alarmierendes Maß an technischer Einheitlichkeit. Der Sicherheitsforscher Kush Pandya stellte fest, dass 520 der 522 untersuchten Add-Ons den Browserverkehr durch ein identisches SOCKS5-Proxy-Netzwerk leiten. Dabei wird in den Chrome-Einstellungen unter „chrome.proxy.settings“ ein fester Server auf Port 1082 hinterlegt. Die einzige Ausnahme in der Bypass-Liste bildet die lokale Loopback-Adresse (127.0.0.1), sodass buchstäblich jede andere Browseranfrage über die fremde Infrastruktur läuft.
Insgesamt wurden 75.486 Installationen registriert. Besonders perfide: 274 der Erweiterungen imitieren 66 etablierte VPN- und Privacy-Marken, darunter Proton VPN, NordVPN, Surfshark, AdGuard VPN, ExpressVPN, CyberGhost, Windscribe, TunnelBear, Cloudflare 1.1.1.1 und Google Outline. Diese Täuschung zielt darauf ab, das Vertrauen der Nutzer in bekannte Schutzlösungen zu missbrauchen.
Der Angreifer steht zwischen Nutzer und Ziel
Durch die Proxy-Umleitung wird der Angreifer faktisch zum Mittelsmann für jede einzelne Browseraktivität. Das bedeutet, der Betreiber der Proxy-Infrastruktur kann alle besuchten Domains, die Quell-IP-Adressen, die TLS-SNI-Werte (die anzeigen, welche verschlüsselte Seite aufgerufen wird) sowie sämtliche unverschlüsselten HTTP-Daten einsehen. Nur 221 der entdeckten Erweiterungen wurden bislang aus dem Chrome Web Store entfernt; 516 Add-Ons sind weiterhin als aktiv gelistet.
Hinweise auf russisches VPN-Geschäft
Die Ermittler fanden belastende Spuren, die auf den Betreiber hindeuten. In einigen Erweiterungspaketen fanden sich Windows-Build-Pfade, die einen russischen Arbeitsplatz verraten: „C:\Users\ollob\OneDrive\Документы\1.myxa-work\08.06.26\<domain>\<product>\<product>-release.zip“. Das deutet darauf hin, dass die Angreifer ein kommerzielles VPN-Abonnement-Geschäft in Russland betreiben, das auf einer 12-stelligen Steuernummer basiert.
Rote Flaggen: Was den Betrug entlarvt
Die Erweiterungen weisen eine Reihe von Alarmzeichen auf, die einen genauen Blick lohnen. Obwohl die grundlegende Proxy-Funktionalität der einer legitimen VPN-Lösung gleicht, unterscheidet sich die Täuschung in den Details. Zu den auffälligsten Indikatoren zählen:
- Beworbene Premium-Stufen und kostenpflichtige Standorte, die in Wirklichkeit gar nicht existieren
- Umgehung von DNS-over-HTTPS-Sperren durch blocklist-evasion
- Eine vollständig gefälschte Benutzeroberfläche mit animierten Verbindungsanzeigen und Statusindikatoren, obwohl jeder Verbindungsversuch fehlschlägt
- Ein internes Handbuch mit dem Titel „Промт для сотрудников“ (Anweisungen für Mitarbeiter), das vorschreibt, die Domain nicht direkt in die Proxy-Einstellungen zu setzen, sondern nur die aufgelöste IP-Adresse zu verwenden
- Absichtlich irreführende Kommentare im Code, die darauf abzielen, die Prüfrichtlinien des Chrome Web Stores zu umgehen
- Eine nachträgliche Fernkonfiguration, die erst nach der Store-Zulassung aktiviert wird
- Identische Einreichungsbegründungen gegenüber den Store-Prüfern, die fälschlich „Keine Datenübertragung an externe Server“ oder „Kein Nutzer-Tracking“ behaupten
Was bedeutet das für betroffene Nutzer?
Für jeden Nutzer, der eine solche Erweiterung installiert hat, läuft jeder einzelne Browser-Request durch einen Server, den der Angreifer kontrolliert. Ob der Betreiber diese Proxy-Server selbst besitzt oder lediglich Kapazitäten von einem vorgelagerten Anbieter weiterverkauft, lässt sich aus dem Code nicht ableiten. Sollte es sich um eine Wiederverkäufer-Struktur handeln, wäre eine weitere Partei in der Lage, den Datenverkehr mitzulesen. Klar ist laut Pandya: „Was durch die Pakete und die öffentliche Infrastruktur belegt ist, sind die Täuschung durch Markenimitation, die undeklarierte Proxy-Konfiguration, die nicht existierenden Premium-Server, die falschen Angaben gegenüber den Store-Prüfern und die Code-Substitution nach der Zulassung.“
Gelöschte Erweiterung kehrt mit Monetarisierungs-Schema zurück
Parallel zu dieser Proxy-Kampagne berichten die Netskope Threat Labs von einem weiteren besorgniserregenden Fall. Die Chrome-Erweiterung „AI Sidebar with Deepseek, ChatGPT, Claude, and more“ war bereits im Januar 2026 wegen Prompt-Poaching entfernt worden – einer Technik, bei der Benutzereingaben an KI-Dienste abgegriffen werden. Nun tauchte sie in einer neuen Version wieder auf. Die Taktik folgt einem klaren Muster: Zunächst wurde ein bereinigtes Update ausgerollt, das die Daten-Diebstahl-Funktion entfernte. Nach zwei Wochen jedoch, am 31. Juli 2026, folgte über Googles CRX-Netzwerk ein weiteres Update. Dieses enthielt einen chirurgisch präzisen 21-zeiligen Code, der bei jedem Update und jeder Deinstallation der Erweiterung einen Affiliate-Link in einem neuen Browser-Tab öffnet.
Die Sicherheitsexperten beschreiben dies als ein kalkuliertes Schema: Die Erweiterung gibt vor, sich zu bessern, nur um dann ein neues, monetarisierendes Update nachzuschieben. Anders als zuvor fehlt zwar der Code zum Abgreifen der Konversationen, dafür wird der Browser des Nutzers nun für Partner-Werbeeinnahmen missbraucht. Zusätzlich wurde die Weiterleitung von DeepSeek-Nutzern zu ChatGPT unterdrückt, was das manipulative Potenzial solcher Add-Ons weiter unterstreicht.
Strategische Implikationen und Ausblick
Die Vorfälle werfen ein Schlaglicht auf ein strukturelles Problem der Chrome-Erweiterungs-Plattform. Die scheinbare Leichtigkeit, mit der hier Tausende von Nutzern über einen langen Zeitraum hinweg getäuscht werden konnten, deutet auf systemische Schwächen im Prüfprozess hin. Für die Zukunft ist zu erwarten, dass Angreifer ihre Taktiken weiter verfeinern werden: Sie setzen auf serielle Updates, die zwischen harmlosen und schädlichen Versionen wechseln, um automatische Scans zu unterlaufen. Die Kombination aus Markenimitation, gezielter Ansprache von Nutzern in Ländern mit Internet-Zensur und der Nutzung von Drittanbieter-Proxy-Infrastruktur wird sich als langlebiges Bedrohungsmuster etablieren. Nutzer sollten daher keiner Browser-Erweiterung blind vertrauen, die kostenlosen Zugang zu gesperrten Inhalten verspricht, ohne die tatsächlichen Datenflüsse und die Reputation des Entwicklers einer gründlichen Prüfung zu unterziehen.
