Oprogramowanie szpiegujące w VPN

Rozwiązania antywirusowe z VPN dla konsumentów odnotowały gwałtowny wzrost w ciągu ostatnich kilku lat. Te wszechobecne narzędzia – które często są dodawane do oprogramowania antywirusowego – pomagają użytkownikom zachować prywatność ruchu internetowego, surfować anonimowo i omijać ograniczenia lub cenzurę. I chociaż większość świata uważa tę technologię za coś oczywistego, użytkownicy w określonych regionach – na przykład mieszkańcy Iranu – muszą wypróbować dziesiątki aplikacji, zanim znajdą taką, która (nadal) jest w stanie ominąć ograniczenia dostawcy usług internetowych. I chociaż niektóre sieci VPN są fałszywe lub są zablokowane, inne są celowo zainfekowane malware.

Kontekst problemu z zawirusowanym VPN-em

Podczas rutynowej analizy wydajności wykrywania zauważyliśmy partię procesów uruchamianych z rozwiązaniem antywirusowym z VPN, które respektowały ten sam wzorzec w nazwach procesów. Nazwy te zaczynają się od sys, win lub lib, po których następuje słowo opisujące funkcjonalność, takie jak bus, crt, temp, cache, init i kończą się na 32.exe. Później zauważyliśmy, że pliki .bat i pobrane ładunki są zgodne z tą samą konwencją nazewnictwa. Dalsze dochodzenie wykazało, że komponenty są częścią aplikacji monitorującej o nazwie SecondEye, opracowanej w Iranie i legalnie dystrybuowanej za pośrednictwem strony internetowej dewelopera. Odkryliśmy również, że niektóre komponenty spyware zostały już opisane w artykule opublikowanym przez Blackpoint. W artykule badacze zwrócili uwagę na niebezpieczeństwa związane ze złośliwym zachowaniem legalnie dystrybuowanego oprogramowania monitorującego.

Również zapoznaj się z – Ukierunkowana analiza zagrożeń w rozwiązaniu antywirusowym

Nasi badacze, jak również Blackpoint, stwierdzili, że kampanie wykorzystywały komponenty pakietu SecondEye i ich infrastrukturę. Jednak komponenty te nie były dostarczane za pośrednictwem legalnego instalatora SecondEye, ale raczej za pośrednictwem trojanizowanych instalatorów oprogramowania antywirusowego z VPN (również opracowanego w Iranie), które upuszczały komponenty spyware wraz z produktem VPN.

Atak przy użyciu antywirusa z VPN na pierwszy rzut oka

• Bitdefender wykrył kampanię złośliwego oprogramowania, która wykorzystuje komponenty SecondEye – legalnej aplikacji monitorującej – do szpiegowania użytkowników 20Speed ​​VPN, irańskiej usługi VPN, za pośrednictwem trojanizowanych instalatorów.
• EyeSpy ma możliwość pełnego naruszenia prywatności online poprzez keyloggery i kradzież poufnych informacji, takich jak dokumenty, obrazy, portfele kryptograficzne i hasła.
• Kampania rozpoczęła się w maju 2022 r., ale szczyt wykrywalności przypada na sierpień i wrzesień. Większość z tych wykrytych przypadków pochodzi z Iranu, z niewielką pulą ofiar w Niemczech i USA.

Jak chronić się przed tego typu zagrożeniami?

Aby uchronić się przed tego typu zagrożeniami, warto wyposażyć się w polecane i od lat nagradzane rozwiązanie antywirusowe. Przykładem idealnego antywirusowego rozwiązania jest Bitdefender. A jeśli szukasz oprogramowania wyposażonego w narzędzie VPN, możesz sprawdzić Bitdefender Total Security i VPN.