威脅情報(bào)研究人員在名為 PROXYLIB 的活動(dòng)中發(fā)現(xiàn) VPN 應(yīng)用程序在用戶不知情的情況下將用戶的設(shè)備變成了網(wǎng)絡(luò)犯罪分子的工具。

網(wǎng)絡(luò)犯罪分子通過其他人的設(shè)備（稱為代理）發(fā)送流量，他們能夠使用其他人的資源來完成工作，掩蓋了攻擊的根源，致使被阻止的可能性較小，并且如果他們的代理之一被阻止，他們?nèi)匀豢梢岳^續(xù)操作。

代理網(wǎng)絡(luò)地下市場(chǎng)的存在就是為網(wǎng)絡(luò)犯罪分子提供靈活的、可擴(kuò)展的平臺(tái)，從該平臺(tái)發(fā)起廣告欺詐、密碼噴射和撞庫(kù)攻擊等活動(dòng)。

研究人員在 Google Play 上發(fā)現(xiàn)了 28 個(gè)應(yīng)用程序，這些應(yīng)用程序?qū)?Android 設(shè)備變成犯罪分子的代理。其中 17 個(gè)應(yīng)用程序是免費(fèi) VPN。目前，所有這些內(nèi)容均已從 Google Play 中刪除。

此外，研究人員還在第三方存儲(chǔ)庫(kù)中發(fā)現(xiàn)了數(shù)百個(gè)應(yīng)用程序，這些應(yīng)用程序似乎使用 LumiApps 工具包，這是一個(gè)可用于加載 PROXYLIB 的軟件開發(fā)工具包 (SDK)。他們還將 PROXYLIB 與另一個(gè)專門出售代理節(jié)點(diǎn)訪問權(quán)限的平臺(tái)（稱為 Asocks）綁定在一起。

保護(hù)與清除

Android 用戶現(xiàn)在可以通過 Google Play Protect 自動(dòng)保護(hù)免受 PROXYLIB 攻擊，該功能在具有 Google Play 服務(wù)的 Android 設(shè)備上默認(rèn)處于啟用狀態(tài)。

可以使用移動(dòng)設(shè)備的卸載功能卸載受影響的應(yīng)用程序。然而，此類應(yīng)用程序?qū)砜赡軙?huì)以不同的名稱出現(xiàn)，用戶仍需警惕。

遠(yuǎn)離 PROXYLIB 的建議

·不要安裝來自第三方網(wǎng)站的應(yīng)用程序。

·不要安裝免費(fèi) VPN。

·使用適用于 Android 的 Malwarebytes。

PROXYLIB 等新型攻擊的受害者可能會(huì)流量緩慢，因?yàn)樗麄兊膸捯驯挥糜谄渌康?，并且他們?IP 地址可能會(huì)被網(wǎng)站和其他服務(wù)屏蔽。

有研究人員列出了他們發(fā)現(xiàn)的應(yīng)用程序列表，如果用戶在從 Google Play 刪除之前安裝了列表中的任何應(yīng)用程序，則需要將其卸載。

參考及來源：

https://www.malwarebytes.com/blog/news/2024/04/free-vpn-apps-turn-android-phones-into-criminal-proxies

原文來源：嘶吼專業(yè)版