Uma investigação da equipa de threat research da Socket veio expor uma das maiores operações alguma vez documentadas na loja de extensões do Chrome envolvendo falsas VPN. A equipa identificou uma campanha com 737 extensões maliciosas de VPN e proxy na Chrome Web Store, com mais de 75 mil instalações, publicadas a partir de 40 contas de programador e dirigidas sobretudo a utilizadores de língua russa que procuram aceder a serviços bloqueados; 274 dessas extensões imitavam 66 marcas estabelecidas de VPN, incluindo Proton VPN, NordVPN e AmneziaVPN. O problema não é geográfico: qualquer pessoa que instale uma extensão «VPN grátis» no navegador, incluindo em Portugal, está a confiar todo o tráfego do browser a quem controla o servidor do outro lado.
Resposta rápida: Investigadores da Socket documentaram 737 extensões de VPN e proxy na Chrome Web Store que encaminhavam todo o tráfego do navegador por servidores SOCKS5 controlados por um único operador. Centenas usavam nomes e imagem de marcas legítimas para ganhar confiança e pediam apenas a permissão proxy, que parece inofensiva mas decide para onde vai a navegação. Reveja hoje as extensões instaladas no Chrome e no Edge, remova as que prometem «VPN grátis» sem fornecedor identificável e, em contexto empresarial, imponha uma lista de extensões autorizadas.
Uma operação industrial: 737 extensões, 40 contas, um só destino
A dimensão é o que distingue este caso das habituais notícias sobre extensões maliciosas. Em vez de duas ou três aplicações fraudulentas, os investigadores mapearam centenas de publicações aparentemente independentes que convergiam para a mesma infraestrutura. A Socket refere que, das 737 extensões identificadas na campanha, 274 imitavam marcas de confiança e 520 encaminhavam todo o tráfego do navegador através de infraestrutura partilhada, sendo que o plano pago anunciava 200 nomes de servidores, nenhum dos quais resolvia.
Esse último detalhe é revelador: quem pagava uma subscrição «premium» estava a comprar servidores que, na prática, não existiam. O tráfego era encaminhado por proxies SOCKS5 controlados por um único operador na porta 1082, colocando o agente de ameaça numa posição de adversário-no-meio, enquanto os planos pagos anunciavam servidores em cinco países que não resolviam.
Como o desvio de tráfego era feito
O mecanismo é tecnicamente simples e, por isso mesmo, eficaz. Uma extensão com a permissão proxy pode reconfigurar o Chrome para enviar todos os pedidos por um servidor à escolha do programador. Não é preciso injetar código nas páginas nem pedir acesso a «todos os sites»: basta redirecionar a saída. Em 520 dos 522 pacotes analisados, as extensões configuravam o Chrome para usar um servidor SOCKS5 fixo na porta 1082, com regras de exceção que abrangiam apenas endereços locais, pelo que a navegação de todos os separadores passava a seguir por esse relé depois de o utilizador carregar em «Ligar».
Importa ser rigoroso quanto ao alcance do risco. A investigação não afirma que os operadores recolheram ou usaram indevidamente todos os dados encaminhados, mas confirma que a infraestrutura ocupava uma posição que permitia observar o tráfego enquanto a extensão estava ligada — expondo destinos visitados, metadados de ligação e o endereço IP de origem, sendo que pedidos em HTTP simples poderiam revelar todo o seu conteúdo. Por outras palavras: mesmo sem qualquer roubo ativo de credenciais, o operador ficava com um mapa da navegação de dezenas de milhares de pessoas.
| Elemento observado | Detalhe reportado pela Socket |
|---|---|
| Extensões identificadas | 737, em cerca de 40 contas de programador |
| Instalações acumuladas | mais de 75 000 |
| Imitação de marcas | 274 extensões, 66 marcas (ex.: Proton VPN, NordVPN, AmneziaVPN) |
| Encaminhamento | SOCKS5 na porta 1082, com exceção apenas para endereços locais |
| Permissão pedida | essencialmente proxy |
| Evasão | resolução por DNS cifrado em 104 casos; configuração remota em 66 extensões |
| Plano pago | 200 hostnames anunciados; nenhum resolvia |
As técnicas de ocultação merecem nota. As extensões pediam geralmente apenas a permissão proxy, que a um instalador distraído parece limitada mas controla para onde vai o tráfego; em 104 casos resolviam os anfitriões do proxy através de serviços de DNS cifrado, entregando ao Chrome um endereço em bruto e reduzindo a visibilidade de uma consulta de domínio normal, e em 66 extensões havia configuração remota. A campanha recorreu ainda a DNS-over-HTTPS para evasão, substituição de código após aprovação e manipulação coordenada de avaliações. A substituição de código depois da aprovação é o ponto crítico para quem confia na revisão das lojas: a versão analisada pela plataforma pode não ser a versão que chega ao utilizador semanas depois.
Marcas legítimas usadas como isco
O uso indevido de nomes conhecidos não é novidade nem exclusivo desta campanha. Este ano, a Proton veio publicamente alertar para extensões falsas com a sua marca na loja do Chrome, sublinhando que várias permaneceram disponíveis durante semanas antes de serem removidas, que notificou a Google pelo menos três vezes e que considera o processo de remoção demasiado lento. Para o utilizador comum, o resultado prático é que o logótipo e o nome numa listagem da loja não constituem prova de autenticidade.
Também não é a primeira vez que a mesma equipa de investigação documenta este padrão de negócio. Em dezembro de 2025, a Socket descreveu duas extensões «Phantom Shuttle», distribuídas desde pelo menos 2017, que se apresentavam como VPN e desviavam autenticação de proxy para intercetar tráfego e exfiltrar credenciais para infraestrutura do atacante. A lógica repete-se: uma fachada comercial credível, uma subscrição paga e, por trás, controlo total do caminho do tráfego.
O que fazer agora: verificação em cinco minutos
- Abra
chrome://extensions(ouedge://extensions) e ative o modo de programador para ver o ID de cada extensão instalada. - Remova qualquer extensão de VPN ou proxy que não corresponda a um fornecedor que subscreveu e cuja identidade consiga confirmar no site oficial da marca.
- Desconfie de listagens que pedem a permissão
proxysem explicar quem opera os servidores, ou que prometem acesso ilimitado sem custos. - Verifique as definições de proxy do sistema e do navegador após remover a extensão, para garantir que a configuração voltou ao normal.
- Se usou uma destas extensões em contas sensíveis, altere as palavras-passe, termine as sessões ativas e ative autenticação multifator.
- Em ambientes empresariais, aplique políticas de grupo para permitir apenas extensões autorizadas e bloquear a instalação livre a partir da loja.
Porque é que isto importa às organizações em Portugal
O navegador transformou-se na principal aplicação de trabalho — correio, ERP, CRM, consolas de administração cloud — e as extensões são, em muitas PME, uma camada de software não gerida, instalada por iniciativa individual e sem inventário. Uma extensão que desvia tráfego coloca-se entre o colaborador e todos esses serviços. Mesmo quando o conteúdo segue cifrado por HTTPS, o operador do proxy fica a conhecer que serviços a organização usa, com que frequência e a partir de que endereços — informação que alimenta campanhas de phishing dirigido e de fraude ao CEO.
Do ponto de vista legal, se dados pessoais de clientes ou colaboradores forem expostos por esta via, aplica-se o RGPD e as obrigações de avaliação de risco e, quando aplicável, de notificação à CNPD no prazo de 72 horas. Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança, que transpõe a diretiva NIS2, a gestão do risco associado a software de terceiros no posto de trabalho encaixa diretamente nas medidas de segurança da cadeia de abastecimento e na higiene informática exigidas às organizações, com o CNCS e o CERT.PT como pontos de contacto nacionais para reporte e apoio a incidentes. Uma política simples de controlo de extensões — inventário, lista de autorizadas e revisão periódica — é das medidas com melhor relação entre esforço e redução de risco.
Perguntas frequentes
Como sei se instalei uma destas extensões?
Abra a página de extensões do navegador e reveja tudo o que tenha «VPN» ou «proxy» no nome. Se não consegue identificar o fornecedor, se nunca subscreveu o serviço ou se a extensão apareceu sem instalação consciente, remova-a. Confirme depois as definições de proxy do navegador e do sistema operativo.
Uma extensão de VPN é o mesmo que uma aplicação de VPN?
Não. Uma extensão atua apenas dentro do navegador e, em muitos casos, limita-se a configurar um proxy, sem o túnel cifrado ao nível do sistema que uma aplicação de VPN estabelece. Por isso, a confiança recai inteiramente em quem opera o servidor de destino.
A permissão «proxy» é assim tão perigosa?
Parece limitada, mas determina o caminho de todo o tráfego do navegador. Quem controla esse caminho vê os destinos visitados, metadados de ligação e o endereço IP de origem, e pode ver o conteúdo de pedidos que não sejam cifrados.
O que deve fazer uma PME para reduzir este risco?
Inventariar as extensões instaladas no parque informático, definir uma lista de extensões autorizadas por política de grupo, bloquear instalações livres a partir das lojas e incluir o tema na formação de sensibilização. Em caso de suspeita de exposição de dados pessoais, avaliar a obrigação de notificação à CNPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela equipa de threat research da Socket e por declarações públicas de fornecedores de VPN visados pela imitação de marca.