Даследчыкі выявілі бясплатны VPN, які збіраў даныя для карыстальнікаў і мог перадаваць іх сілавікам
Гаворка пра 5.7 мільярдаў запісаў з IP-адрасамі і рэсурсамі, якія наведвалі карыстальнікі. VPN зроблены пад карыстальнікаў з Кітая і запісваў іх адмыслова, піша CyberNews.
Бясплатныя VPN папулярныя асабліва ў такіх краінах, як Кітай і Расія, дзе выкарыстанне інтэрнэту вельмі жорстка кантралюецца. Аказалася, што праграма пад назвай Airplane Accelerates запісвала вельмі шмат даных карыстальнікаў.
7 ліпеня даследчык Cybernews выявіў 626 гігабайт даных з інфармацыяй пра VPN-злучэнні. Гэта склала базу даных, якая змяшчае 5.7 мільярда запісаў, уключаючы ідэнтыфікатары карыстальнікаў, IP-адрасы, да якіх і з якіх карыстальнікі падлучаліся, назвы рэсурсаў, на якія яны заходзілі і часовыя пазнакі.
«Гэтая ўцечка значная, бо гэтыя даныя можна скарыстаць каб здэананімізаваць карыстальнікаў праграмы і сачыць за імі, — сказаў Арас Назаровас, даследчык, які ўзначаліў расследаванне. — Аналіз праграмы для Android таксама паказаў, што яна здольная функцыянаваць як шпіёнскае ПЗ і мае магчымасці дыстанцыйнага выканання кода».
Чырвоныя сцяжкі
Нягледзячы на тое, што праграма выдае сябе за бясплатны VPN, яно працуе па менш бяспечным пратаколе HTTPS. «У залежнасці ад таго, як яны гэта рэалізавалі, можа аказацца, што праграма шыфруе толькі вэб-трафік, а не трафік ад аперацыйнай сістэмы (АС) або іншых праграмаў, — растлумачыў Назаровас. — Хоць антывірусныя праграмы не вызначаюць гэтую праграму як шкоднасную, наш аналіз гэтай праграмы выклікае некаторыя істотныя асцярогі».
Улічваючы, што Airplane атрымаў каля трох тысяч што рэальная колькасць карыстальнікаў на Windows, MacOS, iOS і Android можа вылічацца дзясяткамі або, магчыма, нават сотнямі тысяч.
Ва ўмовах такога палітычнага рэжыму, як у Кітаі, гэта можа азначаць, што многія карыстальнікі патрапяць у непрыемнасці, калі праграма раскрые ўладам інфармацыю аб тым, куды яны заходзілі.
Праграма запісвала толькі наведванне сайтаў, забароненых у Кітаі. Імаверна, гэта зроблена для адсочвання карыстальнікаў, якія наведваюць дамены, якія Пекін не ўхваляе.
Кампанія, адказная за бясплатную праграму, базуецца ў Аўстраліі, дзе яна зарэгістраваная пад імем AP Network PTY Ltd.
Cybernews таксама выявіў, што Airplane запытвае падазрона вялікую колькасць дазволаў, пачынаючы ад доступу да камеры і запісу гуку, да чытання і змены кантактаў, знешняга сховішча і ўстаноўкі іншых праграм.
«Колькасць дазволаў, запытаных праграмай, дазваляе выказаць здагадку, што частка збіранай ім інфармацыі захоўвалася ў іншай базе даных, якую мы яшчэ не знайшлі», — сказаў Назаровас.
Хоць на сайце кампаніі таксама ёсць палітыка прыватнасці, з фармулёвак і кантэксту незразумела, ці магчыма яе ўвогуле прымяніць да гэтага VPN. Гэта адсутнасць яснасці, падобна, зробленая, каб стварыць пралаз у законе, каб можна было выдаць даныя карыстальнікаў пры патрэбе.
Cybernews спрабаваў звязацца з кампаніяй-распрацоўшчыкам гэтага бясплатнага VPN, AP Network. Не атрымаўшы адказу пасля месяца чакання, рэдакцыя вырашыла, што ў інтарэсах грамадства падзяліцца гэтай гісторыяй.
Каментары
вось, як і Тэлеграм...