Un grupo de aplicaciones deVPN gratuitas disponibles en la Google Play Store ha sido identificado como capaz de convertir los dispositivos Android en servidores proxies sin el conocimiento o consentimiento del usuario.
Descubrimiento por parte de HUMAN y Satori
El equipo de inteligencia de amenazas Satori de HUMAN reveló este hallazgo. Se han identificado 28 aplicaciones en la Google Play Store que contienen un Kit de Desarrollo de Software (SDK) malicioso.
Aplicaciones afectadas y su desarrollo
De estas, 17 se presentaban como software deVPN gratuito y estaban desarrolladas por LumiApps. El SDK incluye una biblioteca llamada PROXYLIB, escrita en Golang, que permite la inscripción de nodos proxy en cada aplicación afectada.
Historia del descubrimiento
La primera detección de una aplicación utilizando PROXYLIB ocurrió en mayo de 2023 con unaVPN gratuita para Android llamada «Oko VPN». Se descubrió que el servicio de monetización de aplicaciones Android de LumiApps utilizaba la misma biblioteca.
Conexión con Asocks
Estas aplicaciones están vinculadas a Asocks, un vendedor ruso de proxies residenciales promocionado en foros de hacking. LumiApps opera una plataforma de monetización de aplicaciones Android que utiliza la dirección IP del dispositivo para cargar páginas web en segundo plano, enviando cualquier dato recopilado a las empresas.
Acciones tomadas por Google
Google ha eliminado todas las aplicaciones implicadas y aquellas que usaban el SDK de LumiApps de la Play Store. Se ha actualizado Google Play Protect para detectar la biblioteca LumiApp utilizada en las aplicaciones.
Afectación a múltiples tipos de aplicaciones
Las aplicaciones identificadas abarcan desde lanzadores de Android hasta aplicaciones deVPN y animaciones de carga.