Дослідники компанії Socket виявили мережу із 737 безкоштовних розширень у Chrome Web Store, які маскувалися під відомі сервіси (Proton VPN, NordVPN, ExpressVPN) та перенаправляли трафік користувачів через підконтрольні проксі-сервери SOCKS5. Загалом ці додатки встановили понад 75 000 користувачів, переважно з східноєвропейського регіону.

Розширення використовували налаштування chrome.proxy.settings для перехоплення веб-сесій, IP-адрес та даних Plain HTTP. 221 додаток вже видалено з магазину Chrome, однак 516 залишалися активними. Аналіз показав наявність обхідних списків, прихованих інструкцій для розробників та задекларованих хибних заяв про відсутність передачі даних на зовнішні сервери.