Plus de 700 faux VPN, le Chrome Web Store n'en finit plus d'accueillir des extensions malveillantes

Selon une enquête de la société de sécurité Socket, 737 extensions Chrome se présentent comme des VPN ou des proxys gratuits et sont publiées depuis au moins 40 comptes développeurs. Elles redirigent le trafic de navigation vers des serveurs tiers à l'insu des utilisateurs.

Publiée le 12 août 2026, cette enquête recense 274 extensions qui imitent 66 marques reconnues, dont Proton VPN, NordVPN ou le résolveur DNS 1.1.1.1 de Cloudflare. Elles exploitent une fonction native de Chrome qui permet de configurer un proxy, ici utilisée pour faire transiter chaque requête du navigateur par un serveur choisi par l'éditeur de l'extension.

Sur les 522 extensions dont Socket a pu analyser le code, 520 activent la même configuration dès la connexion avec un proxy SOCKS5 fixe, situé sur le port 1082, sans exception pour les sites visités. Une fois l'extension connectée, chaque requête du navigateur, quel que soit le site, passe par ce serveur externe. Un hacker peut alors observer la destination de chaque requête, le nom de domaine négocié lors des connexions chiffrées, l'adresse IP de l'utilisateur, et le contenu des échanges effectués sur les sites qui n'utilisent pas le chiffrement HTTPS, identifiants compris.

Pour limiter les traces de cette redirection, 104 extensions résolvent l'adresse du proxy via les services DNS chiffrés de Cloudflare ou de Google avant de la transmettre à Chrome. Cela permet d'éviter qu'une requête DNS classique ne révèle le nom de domaine utilisé. L'offre payante intégrée à ces extensions promet par ailleurs des serveurs situés au Japon, à Singapour, au Canada, en Australie et en Turquie. Socket a testé 200 adresses correspondant à ces emplacements et aucune n'a répondu. Évidemment, aucun de ces serveurs n'existe réellement. D'ailleurs, parfois même, aucun emplacement sélectionné n'est fonctionnel.

Ces extensions semblent être liées à une même opération. Elles présentent toutes un identifiant d'outil de mesure d'audience partagé entre plusieurs domaines. On trouve aussi un chemin de dossier Windows dans 43 paquets, et des lots de domaines enregistrés à quelques secondes d'intervalle. 94% des extensions de la campagne visent des utilisateurs russophones cherchant à contourner le blocage de services comme Instagram, YouTube ou ChatGPT. D'ailleurs, certaines reprennent le nom d'AmneziaVPN ou d'AntiZapret, deux outils particulièrement populaires en Russie.