Derrière ces extensions, Socket identifie une même opération liée au service russe Myxa VPN. Et le problème ne vient pas seulement de leur fonctionnement technique : certains internautes pensaient confier leur navigation à une marque connue alors que leur trafic passait en réalité par l'infrastructure d'un autre opérateur.
737 extensions, dont 274 imitent des marques connues
D'après Socket, les 737 extensions recensées sont réparties sur plus de 40 comptes développeur du Chrome Web Store.
Parmi elles, 274 reprennent l'identité visuelle de 66 marques VPN ou de services liés à la vie privée. On retrouve notamment NordVPN, Proton VPN, Surfshark, ExpressVPN, CyberGhost, Windscribe, TunnelBear ou encore Cloudflare 1.1.1.1.
Le piège a visiblement fonctionné : l'ensemble de la campagne aurait cumulé 75 486 installations selon les compteurs affichés par le Chrome Web Store.
Sur les 737 extensions identifiées, 221 avaient déjà été retirées du magasin de Google. Les 516 autres étaient encore référencées au moment de l'analyse publiée par Socket.
Autrement dit, taper simplement le nom d'un VPN dans le Chrome Web Store ne garantit pas de tomber sur le logiciel officiel. Si vous cherchez une application comme NordVPN, le réflexe le plus sûr reste de partir directement du site de l'éditeur.
Le trafic de Chrome passait par les serveurs d'un autre opérateur
Techniquement, ces extensions ne mettent pas en place un VPN complet protégeant toutes les connexions de l'appareil. Elles redirigent surtout le trafic du navigateur à travers un proxy SOCKS5, c'est-à-dire un serveur intermédiaire.
Ce fonctionnement n'est pas nécessairement suspect en lui-même : une extension VPN peut parfaitement utiliser un proxy pour protéger ou rediriger le trafic de Chrome.
Le vrai problème est ailleurs.
Dans cette campagne, les serveurs intermédiaires sont contrôlés par une infrastructure qui n'a rien à voir avec les marques affichées par certaines extensions. Un internaute pensant installer Proton VPN, NordVPN ou un autre service connu pouvait ainsi faire transiter sa navigation par les serveurs d'un opérateur totalement différent.
Socket rattache cette infrastructure au service russe Myxa VPN, même s'il n'est pas établi que cet acteur possède lui-même tous les serveurs utilisés.
Certaines extensions cherchaient aussi à être plus difficiles à détecter
Socket a également identifié plusieurs mécanismes destinés à rendre l'infrastructure moins visible.
Au moins 104 extensions utilisent par exemple des résolveurs DNS chiffrés de Google ou de Cloudflare pour retrouver l'adresse IP de leurs serveurs proxy. Au lieu de laisser l'ordinateur effectuer une requête DNS classique, l'extension récupère elle-même cette information avant de transmettre directement l'adresse IP à Chrome.
Conséquence : le nom de domaine du serveur proxy apparaît moins facilement dans les requêtes DNS classiques, ce qui peut compliquer certaines méthodes de détection ou de blocage.
Mais les éléments les plus inquiétants concernent surtout la manière dont certaines extensions ont réussi à rester sur le Chrome Web Store.
Socket rapporte notamment que plusieurs d'entre elles auraient fourni à Google des déclarations affirmant qu'aucune donnée n'était transmise vers des serveurs externes, alors que leur fonctionnement consistait précisément à faire passer la navigation par un proxy distant.
Des dizaines d'extensions auraient également reçu des modifications de code après leur validation initiale.
Le proxy ne permet pas forcément de lire tous vos mots de passe
Le passage par un serveur intermédiaire donne à son opérateur une position privilégiée pour observer une partie de la navigation. Mais cela ne signifie pas pour autant qu'il peut automatiquement lire tout ce que vous faites sur Internet.
Sur un site utilisant HTTPS, le contenu de la connexion reste normalement chiffré entre votre navigateur et le site visité. Le serveur proxy peut notamment voir qu'une connexion a lieu et vers quelle destination elle est dirigée, mais il ne peut pas simplement récupérer le contenu chiffré ou vos mots de passe.
En revanche, les informations envoyées vers un site encore accessible en HTTP non chiffré peuvent être exposées.
Socket précise par ailleurs ne pas avoir analysé le fonctionnement interne des serveurs proxy. Il n'est donc pas possible d'affirmer quelles données ont réellement été enregistrées, conservées ou exploitées.
De faux serveurs premium étaient même annoncés
L'enquête révèle également plusieurs incohérences dans les services proposés.
Certaines extensions annonçaient par exemple des emplacements « premium » au Japon, à Singapour, au Canada, en Australie ou en Turquie. Pourtant, les noms d'hôtes associés à ces serveurs ne répondaient pas lors des vérifications effectuées par Socket.
Un détail qui illustre bien le fonctionnement de la campagne : reproduire l'apparence et les promesses habituelles d'un service VPN sans forcément fournir l'infrastructure correspondante.
Le phénomène rappelle aussi que derrière certaines offres présentées comme des « VPN gratuits », le modèle économique et l'identité réelle de l'opérateur peuvent être difficiles à vérifier. Notre guide des VPN gratuits et de leurs limites revient justement sur ces différences.
Si vous avez installé une extension VPN, vérifiez sa provenance
Premier réflexe : ouvrez chrome://extensions et regardez précisément ce qui est installé dans votre navigateur.
Une extension utilisant le nom ou le logo d'une marque connue sans provenir directement de son éditeur doit immédiatement éveiller les soupçons. En cas de doute, désinstallez-la.
Si vous avez utilisé une extension suspecte pour vous connecter à des sites fonctionnant encore en HTTP, mieux vaut également modifier les identifiants que vous y avez saisis.
D'autres indices peuvent mettre la puce à l'oreille :
- des emplacements de serveurs qui ne fonctionnent pas
- une connexion annoncée comme active alors que votre adresse IP ne change pas
- une fiche Chrome Web Store pratiquement dépourvue d'avis récents
- un nom de développeur sans rapport avec celui du véritable fournisseur.
Enfin, une extension de navigateur ne doit pas être confondue avec une application VPN complète. La première protège généralement uniquement le trafic de Chrome, tandis que la seconde peut prendre en charge l'ensemble des connexions de l'appareil.
Dans les deux cas, la provenance du logiciel reste le critère essentiel. Le logo d'une marque connue ne prouve rien. Avant d'installer un VPN, mieux vaut partir du site officiel du fournisseur. Notre comparatif des meilleurs VPN ne référence que des applications officielles vérifiées.
