Se han observado en Google Play Store varias aplicaciones maliciosas para Android que convierten los dispositivos móviles que ejecutan el sistema operativo en proxies residenciales (RESIP) para otros actores de amenazas.
Los hallazgos proceden del equipo Satori Threat Intelligence de HUMAN, que afirma que el grupo de aplicaciones VPN venía equipado con una biblioteca Golang que transformaba el dispositivo del usuario en un nodo proxy sin su conocimiento.
La empresa ha bautizado la operación con el nombre en clave de PROXYLIB. Google ha retirado las 29 aplicaciones en cuestión.
Los proxies residenciales son una red de servidores proxy basados en direcciones IP reales proporcionadas por los proveedores de servicios de Internet (ISP), que ayudan a los usuarios a ocultar sus direcciones IP reales enrutando su tráfico de Internet a través de un servidor intermediario.
Dejando a un lado las ventajas del anonimato, los actores de amenazas pueden abusar de ellos no sólo para ocultar sus orígenes, sino también para llevar a cabo una amplia gama de ataques.
"Cuando un actor de amenazas utiliza un proxy residencial, el tráfico de estos ataques parece provenir de diferentes direcciones IP residenciales en lugar de una IP de un centro de datos u otras partes de la infraestructura de un actor de amenazas", dijeron los investigadores de seguridad. "Muchos actores de amenazas compran acceso a estas redes para facilitar sus operaciones".
Algunas de estas redes pueden ser creadas por operadores de malware que engañan a usuarios desprevenidos para que instalen aplicaciones falsas que esencialmente acorralan los dispositivos en una botnet que luego se monetiza para obtener beneficios mediante la venta del acceso a otros clientes.
Las aplicaciones VPN para Android descubiertas por HUMAN están diseñadas para establecer contacto con un servidor remoto, registrar el dispositivo infectado en la red y procesar cualquier solicitud de la red proxy.
Otro aspecto destacable de estas aplicaciones es que un subconjunto de ellas identificado entre mayo y octubre de 2023 incorpora un kit de desarrollo de software (SDK) de LumiApps, que contiene la funcionalidad proxyware. En ambos casos, la capacidad maliciosa se lleva a cabo utilizando una biblioteca Golang nativa.
LumiApps también ofrece un servicio que básicamente permite a los usuarios cargar cualquier archivo APK de su elección, incluidas aplicaciones legítimas, y asociarle el SDK sin tener que crear una cuenta de usuario, que luego puede volver a descargarse y compartirse con otros.
"LumiApps ayuda a las empresas a recopilar información que está disponible públicamente en Internet", afirma la empresa israelí en su página web. "Utiliza la dirección IP del usuario para cargar en segundo plano varias páginas web de sitios conocidos".
"Esto se hace de una manera que nunca interrumpe al usuario y cumple plenamente con GDPR/CCPA. Las páginas web se envían luego a las empresas, que las utilizan para mejorar sus bases de datos, ofreciendo mejores productos, servicios y precios."
Estas apps modificadas -llamadas mods- se distribuyen después dentro y fuera de Google Play Store. LumiApps se promociona a sí misma y al SDK como un método de monetización de apps alternativo a la reproducción de anuncios.
Hay pruebas que indican que la amenaza detrás de PROXYLIB está vendiendo acceso a la red proxy creada por los dispositivos infectados a través de LumiApps y Asocks, una empresa que se anuncia como vendedora de proxies residenciales.
Es más, en un esfuerzo por integrar el SDK en tantas aplicaciones como sea posible y ampliar el tamaño de la red de bots, LumiApps ofrece recompensas en efectivo a los desarrolladores en función de la cantidad de tráfico que se enruta a través de los dispositivos de los usuarios que han instalado sus aplicaciones. El servicio SDK también se anuncia en redes sociales y foros de black hat.
Una investigación reciente publicada por Orange Cyberdefense y Sekoia caracterizaba los proxies residenciales como parte de un "ecosistema fragmentado pero interconectado", en el que los servicios de proxyware se anuncian de diversas formas, desde contribuciones voluntarias hasta tiendas dedicadas y canales de reventa.
"[En el caso de los SDK], el proxyware suele estar incrustado en un producto o servicio", señalaron las empresas. Los usuarios pueden no darse cuenta de que el proxyware se instalará al aceptar las condiciones de uso de la aplicación principal en la que está integrado. Esta falta de transparencia hace que los usuarios compartan su conexión a Internet sin entenderlo claramente".
El desarrollo se produce cuando los laboratorios Lumen Black Lotus Labs revelaron que los routers para pequeños hogares/pequeñas oficinas (SOHO) al final de su vida útil (EoL) y los dispositivos IoT están siendo comprometidos por una botnet conocida como TheMoon para alimentar un servicio proxy criminal llamado Faceless.
Fuente: thehackernews