Como os clientes VPN Android espionam os usuários

O teste de clientes VPN testou três modos possíveis de interceptar e redirecionar o tráfego através de um cliente VPN: interceptação local (1); redirecionamento para a nuvem através do servidor VPN (2); encaminhamento por pares através de um nó participante do sistema (3). A análise de tráfego e sniffing foi realizada pelo farejador ICSI Netalyzr por meio de um ponto de acesso WiFi configurado.

Com o lançamento do Android 4.0 em outubro de 2011, os desenvolvedores de aplicativos móveis receberam suporte nativo para clientes VPN internos por meio da classe Android VPN Service. Ao contrário dos sistemas operacionais de desktop, nos quais um aplicativo requer acesso root para criar interfaces virtuais, para Android, basta solicitar permissão BIND_VPN_SERVICEpara criar um cliente VPN.

A documentação oficial do sistema operacional Android alerta para sérios problemas de segurança ao usar a classe mencionada . Após receber essa permissão, o aplicativo recebe o direito de interceptar e controlar totalmente o tráfego do dispositivo.

Por que um programa pode precisar de permissão VPN? Alguns aplicativos usam esse recurso para ignorar a censura do estado e proteger contra intrusos, para garantir o anonimato - aqui a VPN é bastante apropriada. No entanto, muito mais aplicativos maliciosos solicitam permissão para encapsular o tráfego por apenas um motivo: coletar dados confidenciais. Infelizmente, alguns usuários não têm conhecimento técnico para entender as credenciais e todos os perigos de um aplicativo Android que obteve acesso à classeVpnService- apesar de todos os avisos que o sistema operacional emitir.

Uma equipe de especialistas em segurança da Universidade da Califórnia em Berkeley (EUA), da Universidade de Nova Gales do Sul (Austrália) e da Associação Estadual de Pesquisa Científica e Aplicada da Austrália (CSIRO) conduziu um estudo sobre o quão comum é o problema de vazamento de dados confidenciais através de aplicativos Android que obtiveram acesso a BIND_VPN_SERVICE. Eles estudaram 283 aplicativos do catálogo do Google Play - são clientes VPN (67%), programas corporativos com VPN (10%), otimizadores de tráfego (4%), mensageiros instantâneos com VPN (3%), filtros de tráfego (2%), loggers tráfego (2%), antivírus (1%), clientes Tor (1%) e outros (10%).

Para avaliar os programas, foi desenvolvido um conjunto de testes que combinam análise de código estático e métodos especialmente desenvolvidos para testes de rede ativos. Aparentemente, esta é a primeira análise em larga escala de clientes VPN para Android para vazamento de informações.

A análise estática incluiu a análise de permissões solicitadas pelos aplicativos, levando em consideração as bibliotecas para rastreamento (usando o ApkTool), levando em consideração vírus e componentes maliciosos (usando a API VirusTotal aberta).

Por exemplo, a tabela mostra os resultados das verificações antivírus de clientes VPN populares com mais de 500 mil instalações.Como você pode ver, para metade delas, a verificação antivírus deu um resultado positivo (a coluna “verificação AV” na tabela) e a outra metade dos clientes VPN foram bem-sucedidos. truque antivírus limpo.

App	Class	Classificação	Comentários	Instalações	Verificação AV
EasyOvpn	Grátis	4.2	84.400	5 milhões	+
VPN grátis	Pago	4.0	15.788	1 milhão	+
Tigervpns	Grátis	4.1	36 617	1 milhão	+
DNSet	Pago	4.0	21.699	500 mil	-
CM Data Manager	Pago	4.3.	11 005	1 milhão	-
Rocket VPN	Grátis	4.2	11 625	500 mil	+
Globus VPN	Grátis	4.3.	14.273	500 mil	-
VPN Spotflux	Grátis	4.0	14.095	500 mil	-
Cyberghost	Grátis	4.0	13.689	500 mil	+

Considerando não apenas clientes populares, mas também menos populares, os antivírus mais encontraram o código malicioso nos seguintes programas: OkVpn (24 antivírus com resultado positivo), EasyVpn (22), SuperVPN (13), Betternet (13), CrossVpn (11) ), Archie VPN (10), HatVPN (10), sFly Network Booster (10), VPN com um clique (6), Pagamento seguro rápido (5).

A análise estática da funcionalidade e a análise de tráfego ativo revelaram vários fatos perturbadores. Descobriu-se que 18% dos clientes VPN não criptografam o tráfego do usuário. 38% dos clientes injetam software malicioso ou anúncios maliciosos no tráfego com o objetivo específico de acessar informações do usuário. É irônico que as pessoas instalem esses programas para proteger suas informações contra acesso não autorizado, proteger seu anonimato e manter a confidencialidade - mas, na prática, elas entendem o contrário. Esses clientes VPN maliciosos são instalados em computadores de dezenas de milhões de usuários.

Os pesquisadores descobriram que 80% dos aplicativos solicitam acesso a uma variedade de informações confidenciais, incluindo contas de usuário e mensagens de texto. Dois terços dos clientes VPN vêm com bibliotecas de rastreamento de terceiros. Isso é significativamente mais do que em aplicativos regulares.


Distribuição de bibliotecas de rastreamento de terceiros em clientes VPN gratuitos e pagos, bem como em todos os aplicativos do catálogo do Google Play (para comparação)

Embora a maioria desses aplicativos permita trabalhos anônimos na Internet (em certo sentido), na realidade eles coletam uma grande quantidade dados pessoais sobre usuários, que podem ser vendidos a terceiros.

De acordo com uma análise dos comentários no Google Play, apenas 1% dos usuários manifestou alguma preocupação com a privacidade ou segurança em conexão com clientes VPN em seus smartphones Android.

Antes da publicação do relatório (pdf), ele foi enviado aos desenvolvedores de clientes VPN e outros especialistas em segurança. Como resultado, alguns desenvolvedores corrigiram vulnerabilidades de segurança em seus programas, enquanto outros as removeram do diretório do Google Play. "Sempre preste atenção nas permissões dos aplicativos que você baixa", dizProfessor Dali Kaafar, Pesquisador Chefe do CSIRO para Privacidade e Segurança Online. "O estudo mostrou que os usuários de clientes VPN devem examinar a gravidade dos problemas com esses aplicativos e os riscos que enfrentam ao usar esses serviços".

Source: https://habr.com/ru/post/pt400961/