Google Play'deki 15'ten fazla ücretsiz VPN uygulaması, Android cihazlarını muhtemelen siber suç ve alışveriş botları için kullanılan farkında olmayan konut vekillerine dönüştüren kötü amaçlı bir yazılım geliştirme kiti kullanılarak bulundu.
Konut vekilleri, diğer uzak kullanıcılar için evlerde bulunan cihazlardan internet trafiğini yönlendiren ve trafiğin meşru görünmesini ve engellenmesi daha az olası olan cihazlardır.
Pazar araştırması, reklam doğrulaması ve SEO için meşru kullanımları olsa da, birçok siber suçlu bunları reklam sahtekarlığı, spam, kimlik avı, kimlik bilgisi doldurma ve şifre püskürtme gibi kötü niyetli faaliyetleri gizlemek için kullanır.
Kullanıcılar, parasal veya diğer ödülleri karşılamak için gönüllü olarak proxy hizmetlerine kaydolabilirler, ancak bu proxy hizmetlerinin bazıları, proxy araçlarını insanların cihazlarına gizlice yüklemek için etik dışı ve gölgeli araçlar kullanır.
Gizlice kurulduğunda, mağdurlar, kötü niyetli faaliyetlerin kaynağı olarak ortaya çıkması nedeniyle bilgi ve riskli yasal sorunları olmadan internet bant genişliğini kaçıracaklar.
Bugün Human's Satori Tehdit İstihbarat Ekibi tarafından yayınlanan bir rapor, Google Play'de Android cihazları gizlice proxy sunucularına dönüştüren 28 uygulamayı listeliyor. Bu 28 uygulamadan 17'si ücretsiz VPN yazılımı olarak kabul edildi.
Satori analistleri, rahatsız edici uygulamaların hepsinin proxy'yi gerçekleştirmek için bir Golang kütüphanesi olan "Proxylib" içeren Lumiapps tarafından bir Yazılım Geliştirme Kiti (SDK) kullandığını bildiriyor.
İnsan Mayıs 2023'te "Oko VPN" adlı ücretsiz bir Android VPN uygulaması olan ilk Proxylib Taşıyıcı uygulamasını keşfetti. Araştırmacılar daha sonra Lumiapps Android uygulama para kazanma hizmeti tarafından kullanılan kütüphaneyi buldular.
"Mayıs 2023'ün sonlarında, Satori araştırmacıları hacker forumlarında ve para kazanma SDK, Lumiapps [.] IO'ya atıfta bulunan yeni VPN uygulamalarında etkinlik gözlemlediler."
"Daha fazla araştırma üzerine ekip, bu SDK'nın tam olarak aynı işlevselliğe sahip olduğunu belirledi ve proxylib'in önceki sürümüne ilişkin araştırmanın bir parçası olarak analiz edilen kötü amaçlı uygulamalarla aynı sunucu altyapısını kullanıyor."
Sonraki bir araştırma, Android cihazlarını vekillere dönüştürmek için proxylib kütüphanesini kullanan 28 uygulama kümesini aşağıda listelenen bir dizi ortaya çıkardı:
Lumiapps, SDK'sının arka plana web sayfalarını yüklemek ve alınan verileri şirketlere göndermek için bir cihazın IP adresini kullanacağını belirten bir Android uygulama para kazanma platformudur.
Lumiapps web sitesini, "LumiApps, şirketlerin internette halka açık bilgileri toplamasına yardımcı oluyor. Kullanıcının IP adresini, iyi bilinen web sitelerinden arka plana birkaç web sayfası yüklemek için kullanıyor."
"Bu, kullanıcıyı asla kesintiye uğratmayacak ve GDPR/CCPA'ya tam olarak uymayacak şekilde yapılır. Web sayfaları daha sonra veritabanlarını geliştirmek için kullanan, daha iyi ürünler, hizmetler ve fiyatlandırma sunan şirketlere gönderilir."
Bununla birlikte, ücretsiz uygulama geliştiricilerinin SDK'nın kullanıcılarının cihazlarını istenmeyen etkinlikler için kullanılabilecek proxy sunucularına dönüştürdüğünü bilip bilmediği belirsizdir.
İnsan, kötü amaçlı uygulamaların, proxy sağlayıcının web sitesine yapılan bağlantıları gözlemledikten sonra Rus konut vekili hizmet sağlayıcısı 'asocks' ile bağlantılı olduğuna inanıyor. Asocks hizmeti genellikle hack forumlarında siber suçlulara tanıtılır.
Ocak 2024'te Lumiapps, Proxylib V2 ile birlikte SDK'sının ikinci büyük versiyonunu yayınladı. Firmaya göre, bu "entegrasyon sorunları" nı ele aldı ve şimdi Java, Kotlin ve Unity projelerini destekliyor.
İnsanın raporunu takiben Google, Şubat 2024'te Lumiapps SDK'yı Play Store'dan kullanarak yeni ve kalan uygulamaları kaldırdı ve uygulamalarda kullanılan LumiApp kütüphanelerini algılamak için Google Play Protect'i güncelledi.
Bu arada, yukarıda listelenen birçok uygulama, muhtemelen geliştiricileri rahatsız edici SDK'yı kaldırdıktan sonra, Google Play Store'da tekrar mevcuttur. Bazen farklı geliştirici hesaplarından yayınlandı ve potansiyel olarak önceki hesap yasaklarını gösterdi.
BleepingComputer, şu anda mevcut olan uygulamaların durumu hakkında aynı adları kullanarak ve şimdi güvenli olup olmadıkları hakkında bir yorum için Google'a ulaştı, ancak henüz duymadık.
Listelenen uygulamalardan birini kullandıysanız, belirli bir SDK'yı kullanmayan en yeni sürüme güncelleme proxy etkinliğini durduracaktır. Bununla birlikte, bol miktarda dikkatli bir şekilde, bunları tamamen kaldırmak daha güvenli olabilir.
Uygulama Google Play'den kaldırılmışsa ve güvenli bir sürüm yoksa, kaldırmanız önerilir. Play Protect de bu durumda kullanıcıları uyarmalıdır.
Son olarak, ikinci kategorideki birçok ürün, veri toplama/satış, reklam ve proxy hizmetlerine kayıt dahil dolaylı para kazanma sistemlerini uygulamak için daha istekli olduğundan, ücretsiz hizmetler yerine ücretli VPN uygulamaları kullanmak daha güvenlidir.
GÜNCELLEME 3/27 - Bir Google sözcüsü BleepingComputer'a aşağıdaki yorumu gönderdi:
Google Play Protect, bu tanımlanmış uygulamaları devre dışı bırakarak kullanıcıları otomatik olarak korur. Uygulamalar devre dışı bırakıldıktan sonra, cihazda çalışamaz veya cihazda herhangi bir zarar veremezler.
Google Play Protect ayrıca bir uyarı sağlayacak ve kullanıcılara tamamen kaldırmak isteyip istemediklerini soracaktır.
Sözcü ayrıca, insan tarafından bildirilen 28 kötü amaçlı uygulamanın hepsinin Google Play'den kaldırıldığını doğruladı.
Bu nedenle, yukarıdaki listede belirtilenlerle aynı veya benzer adlara sahip tüm uygulamaların kullanımı tamamen güvenlidir.
Google Play'de Tespit Edilmiş Kötü Yazılımlarla Döşenmiş Daha Fazla Android Uygulamaları
Google Testleri Yandan yüklü Android uygulamalarını riskli izinlerle engelleyen
Google, casus yazılım satıcılarının çoğu sıfır günün arkasında olduğunu söylüyor
Google geçen yıl 10 milyon dolar Bug Bounty Ödülleri ödedi
Google Pay uygulaması ABD'de kapanıyor, kullanıcıların fon taşımak için Haziran ayına kadar var
Kaynak: Bleeping Computer