Вредоносная библиотека делает из пользователя соучастником онлайн-мошенничества.
28 бесплатных VPN-приложений в Google Play использовали вредоносный SDK, превращая Android-устройства в резидентные прокси, вероятно, используемые для киберпреступлений и работы ботов.
Команда HUMAN обнаружила, что вредоносные приложения использовали SDK от LumiApps, который содержал библиотеку Proxylib для организации прокси. Всего было выявлено 28 приложений, которые тайно превращали устройства Android в прокси-серверы, среди которых 17 маскировались под бесплатные VPN-приложения.
https://www.securitylab.ru/upload/me...exak5tu6jt.png
Схема организации прокси в Android-смартфоне
LumiApps — платформа монетизации приложений для Android, утверждает, что ее SDK использует IP-адрес устройства для загрузки веб-страниц в фоновом режиме, данные с которых затем передаются компаниям. По словам LumiApps, это делается таким образом, чтобы никак не мешать пользователю и полностью соответствовать законодательству (GDPR/CCPA).
Однако неясно, знали ли разработчики бесплатных приложений, что SDK превращает устройства пользователей в прокси-серверы, которые могут использоваться для киберпреступной деятельности, включая мошенничество с рекламой, спам, фишинг, подбор учетных данных и брутфорс-атаки.
HUMAN предполагает связь вредоносных приложений с поставщиком услуг резидентных прокси Asocks на основании обнаруженных соединений с веб-сайтом провайдера. Кроме того, сервис Asocks часто продвигается киберпреступниками на хакерских форумах.
https://www.securitylab.ru/upload/me...1baynkwfvr.png
Вредоносные VPN-сервисы
После отчета HUMAN Google удалила из Play Store все приложения, использующие SDK LumiApps, а также обновила Google Play Protect для обнаружения библиотек LumiApp, используемых в приложениях.
Однако многие из обнаруженных приложений снова доступны в Google Play, предположительно после того, как их разработчики удалили SDK LumiApps. Иногда приложения публиковались с других аккаунтов разработчиков, что может указывать на предыдущие блокировки аккаунтов.
Специалисты рекомендуют обновить использовавшиеся приложения до новейших версий, не использующих данный SDK, а лучше удалить их вовсе.
Code:
<pre class="alt2" dir="ltr" style="
margin: 0px;
padding: 6px;
border: 1px solid rgb(0, 0, 0);
width: 640px;
height: 34px;
text-align: left;
overflow: auto;
background: rgb(37, 37, 37) none repeat scroll 0% 0%;
border-radius: 5px;
font-size: 11px;
text-shadow: none;">https://www.humansecurity.com/learn/blog/satori-threat-intelligence-alert-proxylib-and-lumiapps-transform-mobile-devices-into-proxy-nodes</pre>