737개의 가짜 무료 VPN/프록시 확장프로그램 이슈

가짜 무료 VPN이 무려 737개나?

무려 737개의 웹브라우저 VPN 및 Proxy 확장 프로그램이 발견되었다고 합니다. 원문 및 자세한 내용은 https://socket.dev/blog/chrome-vpn-extension-impersonation 여기를 참고하시면 됩니다.

위의 원문 작성일 기준으로 문제의 확장 프로그램 중 221개가 크롬 웹 스토어에서 삭제되었으나 나머지 516개는 삭제되지 않았다고 합니다.

글이 엄청 길어서 요약해서 알려드릴게요.

내용 정리

• 2024년 11월 ~ 2025년 (사전 인프라 구축 및 사업 준비)
• 러시아어 사용자가 주 타겟이었음
• 총 7만 5천건 이상의 설치가 이루어짐
• NordVPN, Surfshark, ExpressVPN, ProtonVPN, AdGuard VPN, Browsec, CyberGhost, Windscribe, TunnelBear, Cloudflare 등 유명 브랜드를 사칭함
• 구글 심사관에게 “사용자 데이터를 수집하지 않으며 외부 서버로 전송하지 않는다”는 내용이 담긴 똑같은 거짓 해명 문서를 10여 개 프로그램에 복사하여 제출해 정상적인 프로그램인 것처럼 위장
  • 검열 우회를 위한 “노로그(No-logs) VPN”이라고 홍보했지만, 실제 약관에는 사용자의 IP 주소를 수집한다고 적혀 있었음
• 구글의 초기 검열을 무사히 통과하자마자, 공격자들은 원격으로 코드를 몰래 업데이트
  • 최초 심사를 받은 파일에는 없던 ‘원격 설정 기능’을 심사 직후에 추가하여, 구글의 감시망을 피하면서도 자신들이 원할 때마다 통제 서버 주소를 바꿀 수 있도록 조작
• 대부분의 확장 프로그램은 “chrome.proxy.settings”를 포트 1082의 고정 SOCKS5 서버로 설정하여 사용자의 전체 브라우저 세션을 라우팅
• 사용자가 VPN 서비스에 연결되면 다른 모든 브라우저 요청은 SOCKS5 릴레이를 통해 처리
• 중간자 공격자(AitM)의 위치에 서서 브라우저 목적지, 소스 IP 주소, TLS SNI 값 및 일반 HTTP를 통해 전송되는 모든 요청 본문을 관찰할 수 있었음
  • 사용자가 이 가짜 확장 프로그램을 켜면, 브라우저의 ‘프록시 설정’이 강제로 변경
  • 이후 사용자가 접속하는 모든 웹사이트, 주고받는 네트워크 기록, 실제 IP 주소는 물론, 보안이 안 된(HTTP) 웹사이트에서 입력한 비밀번호까지 모두 암호화 없이 해커의 단일 서버(SOCKS5)를 거치게 됨
• 공격자의 12자리 납세자 번호와 일부 확장 프로그램의 Windows 빌드 경로가 발견되었는데 러시아에서 유료 VPN 사업을 운영하는 것으로 추정
• DNS-over-HTTPS 차단 목록 회피
• 프리미엄(유료) 기능 가짜
• 연결 애니메이션, 연결 상태, 연결 시도 실패 등 모두 가짜
• 여전히 진행형

결론

이번 사건으로 다시 한 번 확인할 수 있는 사실

• 여전히 크롬 웹 스토어에 올라오는 확장프로그램은 쉽게 믿어선 안된다.
• 무료 VPN은 언제나 함정이 될 수 있다.

무료 VPN, 무료 Proxy 확장프로그램만 문제가 되는 것이 아닙니다. 요즘 AI가 대세로 자리잡으면서 AI 관련 확장프로그램도 엄청나게 많이 나오고 있어요.

전혀 개인정보 이슈가 없을 것 같은 성격의 확장프로그램으로 인해 수백만명이 피해를 보는 사건이 지속적으로 존재해왔습니다.

웹 브라우저 확장 프로그램은 설치화 삭제가 너무 쉽고 대부분 무료라 많은 사람들이 고민없이 설치하게 됩니다. 이 글을 읽는 여러분들이라도 확장 프로그램을 매우 보수적으로 고민하시고 최소한으로 설치하시길 바랍니다.

설치 당시에는 괜찮아 보여도, 선한 얼굴로 유저를 최대한 모으고 업데이트를 통해 가면을 벗는 사례는 흔한 수준입니다.

이것도 읽어보세요.

• 중국 정부가 배후였던 VPN 서비스
• 무료 VPN 위험성