สรุปสั้น

บริษัท Socket เปิดเผยการตรวจพบส่วนขยาย VPN และพร็อกซีแบบใช้ฟรีจำนวนมหาศาลถึง 737 ตัวบน Chrome Web Store ซึ่งมีเป้าหมายหลักคือผู้ใช้ที่พูดภาษารัสเซียและกำลังมองหาทางเข้าถึงบริการที่ถูกปิดกั้น โดยส่วนขยายเหล่านี้ดักทราฟฟิกของเบราว์เซอร์แล้วผลักผ่านโครงสร้างพื้นฐานพร็อกซีของผู้ให้บริการรายเดียว ส่วนขยายทั้งหมดถูกเผยแพร่จากบัญชีนักพัฒนาอย่างน้อย 40 บัญชี และมียอดติดตั้งรวมกัน 75,486 ครั้ง

ในจำนวนที่ระบุตัวได้ มี 274 ตัวที่ปลอมตัวเป็นแบรนด์ VPN และแบรนด์ด้านความเป็นส่วนตัวที่มีชื่อเสียงรวม 66 ราย ซึ่งรวมถึง Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear, บริการ 1.1.1.1 ของ Cloudflare และ Outline ของ Google กลไกการทำงานคือตั้งค่า chrome.proxy.settings ให้ชี้ไปยังเซิร์ฟเวอร์ SOCKS5 ตายตัวที่พอร์ต 1082 พร้อมรายการยกเว้นที่มีเพียงที่อยู่ loopback เท่านั้น ผลคือคำขอทุกรายการที่เหลือถูกส่งผ่านรีเลย์ของผู้ก่อเหตุทั้งหมด

ตำแหน่งดังกล่าวทำให้ผู้ควบคุมพร็อกซีอยู่ในฐานะตัวกลางที่มองเห็นปลายทางที่เบราว์เซอร์ติดต่อ ที่อยู่ IP ต้นทาง ค่า TLS SNI และเนื้อหาของคำขอใด ๆ ที่ส่งผ่าน HTTP ธรรมดา ขณะนี้ส่วนขยาย 221 ตัวถูกถอดออกจาก Chrome Web Store แล้ว แต่อีก 516 ตัวยังคงมีสถานะใช้งานอยู่

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 12 สิงหาคม 2569 ว่า มีการตรวจพบส่วนขยาย VPN และพร็อกซีฟรีจำนวน 737 ตัวที่เล็งผู้ใช้ซึ่งพูดภาษารัสเซียเป็นหลัก โดยดักทราฟฟิกของเบราว์เซอร์และส่งผ่านโครงสร้างพื้นฐานพร็อกซี

737 Chrome VPN extensions caught routing traffic through proxies

นาย Kush Pandya นักวิจัยด้านความปลอดภัยของ Socket ระบุว่าส่วนขยายกลุ่มนี้ “ส่งเซสชันทั้งหมดของเบราว์เซอร์ผู้ใช้ผ่านพร็อกซี SOCKS5 ที่ดำเนินการโดยผู้ให้บริการรายเดียว” และเสริมว่า “520 จาก 522 ตัวในชุดข้อมูลจำนวนมากส่งทราฟฟิกเบราว์เซอร์ผ่านโครงสร้างพื้นฐาน SOCKS5 เดียวกัน” ซึ่งเป็นตัวเลขที่ชี้ว่านี่ไม่ใช่กรณีนักพัฒนาหลายรายบังเอิญใช้บริการเดียวกัน แต่เป็นปฏิบัติการเดียวที่กระจายตัวออกเป็นบัญชีจำนวนมาก

Socket ระบุว่าผู้ก่อเหตุน่าจะดำเนินธุรกิจ VPN แบบสมัครสมาชิกอยู่ในรัสเซีย โดยอาศัยหลักฐานสองอย่างคือเลขประจำตัวผู้เสียภาษี 12 หลัก และการที่ส่วนขยายบางตัวเผลอทิ้งเส้นทางไฟล์ตอนคอมไพล์บน Windows ไว้ในแพ็กเกจ ซึ่งเป็นร่องรอยที่โยงกลับไปยังเครื่องของผู้พัฒนาโดยตรง

จุดที่ต้องเข้าใจให้ตรงคือ ในทางเทคนิคแล้วพฤติกรรมของส่วนขยายเหล่านี้ไม่ต่างจากบริการ VPN หรือพร็อกซีที่ถูกกฎหมาย เพราะการส่งทราฟฟิกผ่านเซิร์ฟเวอร์ตัวกลางคือสิ่งที่ VPN ทำอยู่แล้ว สิ่งที่ทำให้กรณีนี้เป็นปัญหาคือการปลอมตัวเป็นแบรนด์ที่มีอยู่จริงแทนที่จะเสนอบริการในชื่อของตัวเอง ทำให้ผู้ใช้เข้าใจผิดว่ากำลังฝากทราฟฟิกไว้กับผู้ให้บริการที่ตนเชื่อถือ

Socket สรุปขอบเขตของสิ่งที่พิสูจน์ได้ไว้อย่างระมัดระวังว่า “สิ่งที่ยืนยันได้จากแพ็กเกจและจากโครงสร้างพื้นฐานสาธารณะคือการปลอมแบรนด์ การตั้งค่าพร็อกซีที่ไม่เปิดเผย เซิร์ฟเวอร์ระดับพรีเมียมที่ไม่มีอยู่จริง ข้อความเท็จที่ส่งให้ผู้ตรวจสอบของสโตร์ และการเปลี่ยนโค้ดหลังผ่านการอนุมัติ” ซึ่งหมายความว่ารายงานนี้ไม่ได้อ้างว่าพบการขโมยข้อมูลเกิดขึ้นจริง แต่ชี้ว่าผู้ก่อเหตุอยู่ในตำแหน่งที่ทำได้

วิธีการโจมตี

ทุกส่วนขยายที่ตั้งค่าพร็อกซีจะมาพร้อมรายการยกเว้นที่บรรจุเฉพาะที่อยู่ loopback หรือ 127.0.0.1 เท่านั้น นั่นแปลว่าเมื่อผู้ใช้กดเชื่อมต่อบริการ VPN ที่คิดว่าเป็นของจริง คำขอทุกรายการที่เหลือทั้งหมดจะถูกส่งผ่านรีเลย์ SOCKS5 ที่พอร์ต 1082 โดยไม่มีข้อยกเว้น

รายการสัญญาณเตือนที่ Socket รวบรวมได้แสดงให้เห็นว่าปฏิบัติการนี้มีการวางแผนมาอย่างเป็นระบบ เริ่มจากการโฆษณาแพ็กเกจแบบเสียเงินหรือทำเลเซิร์ฟเวอร์ระดับพรีเมียมที่ไม่มีอยู่จริง การหลบเลี่ยงบัญชีดำด้วย DNS-over-HTTPS ไปจนถึงส่วนขยายบางตัวที่ล้มเหลวในการเชื่อมต่อทุกครั้งแต่ยังแสดงหน้าจอปลอมครบถ้วน ทั้งภาพเคลื่อนไหวขณะกำลังเชื่อมต่อและไฟแสดงสถานะ

หลักฐานที่ชัดที่สุดว่าเป็นการจัดตั้งคือคู่มือภายในที่ถูกแนบมากับแพ็กเกจ ชื่อว่า “Промт для сотрудников” หรือแปลได้ว่า “พรอมป์สำหรับพนักงาน” ซึ่งสั่งการให้ผู้ปฏิบัติงานเลี่ยงการใส่ชื่อโดเมนลงใน chrome.proxy.settings โดยตรง ให้ใส่เป็นที่อยู่ IP ที่แปลงแล้วแทน และห้ามนำโดเมนของส่วนขยายตัวอื่นมาใช้ซ้ำโดยไม่มีคำสั่งแยกต่างหาก ซึ่งเป็นแนวปฏิบัติที่ออกแบบมาเพื่อไม่ให้ส่วนขยายแต่ละตัวถูกโยงถึงกันได้ง่าย

นอกจากนี้ยังพบคอมเมนต์ในโค้ดที่บ่งชี้ความตั้งใจหลบเลี่ยงนโยบายของ Chrome Web Store การเพิ่มชั้นตั้งค่าจากระยะไกลเข้าไปหลังส่วนขยายผ่านการอนุมัติแล้ว และความพยายามเล่นกับกระบวนการตรวจสอบด้วยการส่งคำชี้แจงข้อความเดียวกันซ้ำ ๆ ที่ระบุว่า “ไม่มีการส่งข้อมูลไปยังเซิร์ฟเวอร์ภายนอก” หรือ “ไม่มีการติดตามหรือบันทึกข้อมูลผู้ใช้”

นาย Kush Pandya อธิบายผลลัพธ์ไว้ว่า “สำหรับผู้ใช้ที่ได้รับผลกระทบแต่ละราย ตราบใดที่ส่วนขยายยังเชื่อมต่ออยู่ คำขอทุกรายการจะผ่านเซิร์ฟเวอร์ที่ผู้ก่อเหตุควบคุม” พร้อมระบุข้อจำกัดของหลักฐานว่า “ผู้ก่อเหตุเป็นเจ้าของเซิร์ฟเวอร์พร็อกซีเหล่านั้นเองหรือเช่าความจุต่อจากผู้ให้บริการต้นทาง เป็นสิ่งที่ตัดสินจากโค้ดของส่วนขยายไม่ได้ และหากเป็นการเช่าต่อ ก็แปลว่ามีอีกฝ่ายหนึ่งอยู่ในตำแหน่งเดียวกันนี้ด้วย”

ส่วนขยายที่ถูกถอดแล้วกลับมาพร้อมรูปแบบหารายได้ใหม่

ในช่วงเวลาใกล้เคียงกัน ทีม Netskope Threat Labs รายงานการกลับมาของส่วนขยาย Chrome ชื่อ “AI Sidebar with Deepseek, ChatGPT, Claude, and more.” หลังจากถูกถอดออกไปหลายเดือนเพราะพฤติกรรมที่เรียกว่า Prompt Poaching ซึ่งเว็บไซต์ Cloud Thunder เคยรายงานกรณีส่วนขยายที่แอบเก็บบทสนทนากับผู้ช่วย AI ไว้ในโพสต์ 2026/06/043

รูปแบบที่ Netskope อธิบายคือลำดับ “สะอาดก่อนแล้วค่อยวางยา” โดยกระจายผ่านเวอร์ชัน 1.7.2.0 และ 1.7.3.0 ที่ส่งผ่านเครือข่ายกระจายเนื้อหา CRX ของ Google เมื่อวันที่ 31 กรกฎาคม 2569 พร้อมโค้ดหารายได้ที่เพิ่มเข้ามาเพียง 21 บรรทัด ซึ่งบริษัทใช้คำว่าเป็นการเพิ่มแบบ “ผ่าตัด” เพราะแนบไปกับเหตุการณ์อัปเดตและถอนการติดตั้งส่วนขยาย

Netskope ระบุว่า “ส่วนขยายปล่อยอัปเดตที่ไม่มีพิษภัยออกมาเพื่อลบโค้ดขโมยข้อมูลและยอมรับความผิด จากนั้นอีกสองสัปดาห์ก็กลับมาหลอกอีกครั้งด้วยอัปเดตใหม่” และอธิบายว่า “แม้จะไม่มีโค้ดดูดบทสนทนาออกไปแล้ว แต่ตอนนี้มันมีเพย์โหลดหารายได้ที่เปิดลิงก์แบบ affiliate ขึ้นในแท็บเบราว์เซอร์ทุกครั้งที่ส่วนขยายอัปเดตและถอนการติดตั้ง นอกจากนี้ยังระงับการเปลี่ยนเส้นทางผู้ใช้ DeepSeek ไปยัง ChatGPT ด้วย”

ผลกระทบ

ผู้ที่รับความเสี่ยงเต็ม ๆ คือผู้ใช้ที่ติดตั้งส่วนขยายเหล่านี้เพราะเชื่อว่ากำลังใช้ผลิตภัณฑ์ของแบรนด์ที่ตัวเองรู้จัก ความเสียหายไม่ได้อยู่ที่การมีมัลแวร์ในเครื่อง แต่อยู่ที่การมองเห็นทั้งหมดที่ผู้ควบคุมพร็อกซีได้รับ ทั้งรายการเว็บไซต์ที่เข้า ช่วงเวลาที่ใช้งาน ที่อยู่ IP จริง และในกรณีที่เว็บไซต์ปลายทางยังใช้ HTTP ธรรมดา ก็รวมถึงเนื้อหาของคำขอด้วย

บริบทของกลุ่มเป้าหมายทำให้เรื่องนี้หนักขึ้นอีกชั้น เพราะผู้ใช้ที่มองหาเครื่องมือหลบการปิดกั้นมักทำเช่นนั้นด้วยเหตุผลที่อ่อนไหว การที่บันทึกการท่องเว็บของคนกลุ่มนี้ไปกองอยู่ที่ผู้ให้บริการรายเดียวซึ่งไม่ได้เปิดเผยตัว จึงเป็นความเสี่ยงที่ต่างจากการโดนขโมยรหัสผ่านทั่วไป

ในมุมองค์กร เรื่องนี้ชี้ปัญหาที่ใหญ่กว่ากรณีเดียว นั่นคือส่วนขยายเบราว์เซอร์ยังเป็นช่องทางที่หลุดจากการควบคุมของทีมไอทีมากที่สุดช่องทางหนึ่ง เพราะพนักงานติดตั้งเองได้ในไม่กี่คลิก การอนุมัติของสโตร์ไม่ใช่หลักประกันว่าโค้ดที่รันอยู่วันนี้คือโค้ดชุดเดียวกับที่ถูกตรวจ และหากเครื่องนั้นถูกใช้เข้าระบบงานด้วย ทราฟฟิกขององค์กรก็เดินผ่านตัวกลางที่ไม่รู้จักไปพร้อมกัน กรณีของ AI Sidebar ยังแสดงให้เห็นว่าการถูกถอดออกจากสโตร์ไม่ได้หมายความว่าเรื่องจบ เพราะส่วนขยายเดิมกลับมาใหม่ได้และเปลี่ยนโค้ดหลังผ่านการตรวจได้เช่นกัน

คำแนะนำ

  • ตรวจสอบรายการส่วนขยายที่ติดตั้งอยู่บนเบราว์เซอร์ของพนักงาน โดยเฉพาะส่วนขยายประเภท VPN พร็อกซี และเครื่องมือหลบการปิดกั้น แล้วเทียบว่านักพัฒนาตรงกับเจ้าของแบรนด์ตัวจริงหรือไม่
  • ติดตั้งส่วนขยายของบริการ VPN จากลิงก์บนเว็บไซต์ทางการของผู้ให้บริการเท่านั้น อย่าค้นหาชื่อแบรนด์ในสโตร์แล้วเลือกผลลัพธ์แรกที่ขึ้นมา
  • ตรวจการตั้งค่าพร็อกซีของเบราว์เซอร์ในเครื่ององค์กร หากพบการชี้ไปยังเซิร์ฟเวอร์ SOCKS5 ที่ไม่ได้กำหนดโดยทีมไอที ให้ถือเป็นเหตุที่ต้องสอบสวน
  • ใช้นโยบายควบคุมส่วนขยายในระดับองค์กร เช่น กำหนดรายการที่อนุญาตให้ติดตั้งได้เท่านั้น แทนการปล่อยให้ผู้ใช้ตัดสินใจเอง
  • ระวังส่วนขยายที่แสดงหน้าจอสถานะการเชื่อมต่อครบถ้วนแต่บริการไม่เคยทำงานจริง เพราะเป็นรูปแบบที่พบในชุดนี้
  • อย่าถือว่าการที่ส่วนขยายเคยผ่านการตรวจสอบของสโตร์เป็นหลักประกันความปลอดภัย เนื่องจากผู้ก่อเหตุใช้วิธีเพิ่มชั้นตั้งค่าจากระยะไกลและเปลี่ยนโค้ดหลังผ่านการอนุมัติ
  • สำหรับส่วนขยายที่เคยถูกถอดออกเพราะพฤติกรรมไม่เหมาะสม ควรบล็อกถาวรแม้จะกลับมาอยู่บนสโตร์อีกครั้ง

แหล่งอ้างอิง