737 Chrome VPN Eklentisi Kullanıcı Trafiğini Gizlice Yönlendiriyor

Google Chrome kullanıcılarını hedef alan yeni bir siber güvenlik tehdidi, yüzlerce Chrome VPN eklentisinin tarayıcı trafiğini gizlice yönlendirdiği ortaya çıktı. Toplam 737 ücretsiz VPN ve proxy eklentisi, kullanıcıların internet erişimini SOCKS5 vekil sunucuları üzerinden aktararak önemli bir güvenlik açığı oluşturuyor. Bu eklentiler, özellikle engellenmiş hizmetlere erişim arayan Rusça konuşan kullanıcıları hedef almasına rağmen, küresel çapta potansiyel risk taşıyor.

Kötü Amaçlı Eklentilerin Arka Planı

Dijital dünyada gizlilik ve erişim ihtiyacı, VPN hizmetlerinin popülaritesini artırıyor. Ancak, bu durum kötü niyetli aktörler için de bir fırsat alanı yaratabiliyor. Söz konusu 737 eklenti, kullanıcıların tarayıcı oturumlarını tek bir sağlayıcı tarafından işletilen SOCKS5 vekil sunucuları üzerinden yönlendirmek için tasarlanmış. Özellikle bazı bölgelerdeki kullanıcıların belirli çevrimiçi servislere ulaşmakta zorlanması, bu tür “ücretsiz” çözümlere olan talebi körüklüyor. Bu eklentiler, masum bir proxy hizmeti sunmak yerine, kullanıcıların verilerini ve çevrimiçi hareketlerini izleme amacı taşıyor.

Siber güvenlik uzmanları, bu geniş çaplı operasyonun arkasında, abonelik tabanlı bir VPN işi yürüttüğüne inanılan bir aktör olduğunu belirtiyor. Eklentilerin, en az 40 farklı Chrome Web Mağazası geliştirici hesabı üzerinden yayımlandığı ve toplamda 75.486 kurulum sayısına ulaştığı tespit edildi. Bu durum, siber güvenlik tehditlerinin ne denli geniş kitlelere yayılabildiğini ve kullanıcıların çevrimiçi güvenlik bilincinin ne kadar önemli olduğunu bir kez daha gösteriyor.

Teknik Detayın Perde Arkası: SOCKS5 ve Ortadaki Adam Saldırısı

Bu eklentilerin çalışma prensibi oldukça basit ama bir o kadar da etkili. Çoğu eklenti, kullanıcıların tüm tarayıcı oturumlarını belirli bir SOCKS5 sunucusu üzerinden yönlendirmek için tarayıcı ayarlarını manipüle ediyor. “chrome.proxy.settings” değeri, sabit bir SOCKS5 sunucusuna ve genellikle 1082 numaralı bağlantı noktasına ayarlanıyor. Bu teknik yapılandırma, tehdit aktörünü bir “Ortadaki Adam” (AitM) pozisyonuna getiriyor.

AitM pozisyonu, saldırganın tarayıcı hedeflerini, kaynak IP adreslerini, TLS SNI değerlerini ve düz HTTP üzerinden gönderilen tüm istek gövdelerini gözlemleyebilmesine olanak tanıyor. Eklentilerin bir bypass listesi içermesi de dikkat çekici bir detay. Bu liste yalnızca loopback adreslerini (yani yerel ana bilgisayar veya 127.0.0.1) barındırıyor. Bu da kullanıcının VPN hizmetine bağlandığı anda, loopback hariç tüm diğer tarayıcı isteklerinin SOCKS5 rölesi üzerinden aktarıldığı anlamına geliyor. Böylece, kullanıcı farkında olmadan tüm çevrimiçi trafiğini kötü niyetli bir vekil sunucuya teslim etmiş oluyor.

Gizlenen Tehlike ve Marka İtibarının Suiistimali

Siber güvenlik araştırmalarının ortaya koyduğu verilere göre, tespit edilen eklentilerin 274’ü, 66 farklı köklü VPN ve gizlilik markasını taklit ediyordu. Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear, Cloudflare’ın 1.1.1.1’i ve Google’ın Outline’ı gibi bilindik isimlerin sahtelerinin oluşturulması, kullanıcı güvenini suistimal etmenin tipik bir örneğini teşkil ediyor. Bu taklitçi davranış, kullanıcıların tanıdık markalara duyduğu güveni kullanarak kötü amaçlı yazılımları dağıtma stratejisinin bir parçası.

Bu tür eklentilerin sadece taklit etmekle kalmayıp, çeşitli “kırmızı bayrak” sinyalleri de verdiği tespit edildi. Mevcut olmayan ücretli katmanlar veya premium konumlar reklam etmek, DNS-over-HTTPS engelleme listelerini atlatmaya çalışmak gibi belirtiler, eklentilerin meşruiyetini sorgulatıyor. Bazı eklentilerin ise sürekli bağlantı hatası vermesine rağmen, çalışan bir bağlantı animasyonu ve durum göstergesi içeren sahte bir arayüz sunması, kullanıcıları yanıltmak için ne denli detaylı çalıştıklarını gözler önüne seriyor. Tespit edilen eklentilerin 221’i Chrome Web Mağazası’ndan kaldırılmış olsa da, geriye kalan 516 eklenti hala aktif olarak listeleniyor.

Siber Güvenlik Uzmanlarının İşaret Ettiği Güvenlik İhlalleri

Bu operasyonun ardındaki aktörlerin, Chrome Web Mağazası politikalarını atlatmak için çeşitli yöntemler kullandığı da rapor edildi. Eklentilerin dahili manuel belgelerinde “Çalışanlar için İpucu” anlamına gelen “Промт для сотрудников” başlıklı bir bölümün bulunması, bu durumun organize bir çaba olduğunu gösteriyor. Bu belge, çalışanlara alan adını doğrudan “chrome.proxy.settings” bölümüne eklemek yerine, çözülmüş IP adresini kullanmaları ve başka bir eklentinin alan adını ayrı talimatlar olmadan kullanmaktan kaçınmaları talimatını veriyor. Bu, Chrome Web Mağazası’nın denetim süreçlerini manipüle etme çabasının açık bir kanıtı.

Ayrıca, eklenti onaylandıktan sonra yeni bir uzaktan yapılandırma katmanı eklenmesi ve “Dış sunuculara veri aktarılmaz” veya “Kullanıcı izleme veya günlüğe kaydetme yok” gibi aynı gerekçelerle inceleme sürecini atlatma girişimleri de bu eklentilerin kötü niyetli olduğunu destekliyor. Kullanıcıların, bu tür “ücretsiz” hizmetleri kullanırken aşırı dikkatli olmaları ve her zaman tanınmış, şeffaf gizlilik politikalarına sahip VPN sağlayıcılarını tercih etmeleri büyük önem taşıyor.

Chrome Web Mağazası ve Eklenti Güvenliğinin Geleceği

Bu olay, üçüncü taraf tarayıcı eklentilerinin güvenlik risklerini ve bu eklentileri barındıran platformların sorumluluğunu bir kez daha gündeme getiriyor. Chrome Web Mağazası gibi platformlar, kullanıcıları kötü niyetli yazılımlardan korumak için sürekli olarak denetim ve geliştirme süreçlerini iyileştirmek zorunda. Ancak, tehdit aktörlerinin politikaları aşma yöntemleri de sürekli evrildiği için, tam bir koruma sağlamak zorlayıcı olabiliyor. Buradaki asıl mesele, teknoloji devlerinin de bu tür operasyonları önleme konusunda daha proaktif adımlar atması ve uygulama mağazalarındaki güvenlik kontrollerini sıkılaştırması gerekliliğidir.

Kullanıcılar için pratik tarafta bakıldığında ise, her zaman “güven bana” diyerek kurulan eklentilerin getirebileceği potansiyel tehlikelerin farkında olmak şart. Ücretsiz görünen bir hizmetin karşılığının çoğu zaman kişisel verileriniz veya cihazınızın güvenliği olabileceği unutulmamalı. Tarayıcı eklentileri, günlük çevrimiçi deneyimimizin vazgeçilmez bir parçası haline gelmişken, onların arkasındaki geliştiricinin kimliği ve güvenilirliği, sanal güvenlik duvarımızın en temel taşlarından biri olmaya devam edecek.