🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Os pesquisadores executaram 281 dos aplicativos VPN gratuitos mais populares na Google Play Store por meio de um novo sistema de testes e descobriram que muitos falham no básico para as pessoas instalarem uma VPN, ou seja, manter seu tráfego privado e seguro.
Os aplicativos sinalizados com pelo menos um problema foram instalados mais de 2,4 bilhões de vezes.
Os problemas são básicos, não sofisticados. 29 aplicativos permitem que o tráfego do usuário vaze para fora do túnel criptografado, incluindo pesquisas de DNS que revelam quais sites você visita. 61 aplicativos enviam alguns dados em texto simples que qualquer pessoa que observe o tráfego naquela rede possa ler.
Cinco deles enviam o arquivo de configuração do aplicativo de forma transparente, o que permite que um invasor na rede redirecione a conexão para um servidor que eles controlam.
O sistema, denominado MVPNalyzer, foi apresentado na conferência de segurança NDSS em fevereiro de 2026 por pesquisadores da Universidade de Michigan, da Universidade do Novo México e do IIT Delhi.
É uma contrapartida móvel do estudo VPNalyzer anterior do mesmo laboratório sobre software VPN para desktop, e os pesquisadores o descrevem como a primeira estrutura construída para auditar sistemática e repetidamente aplicativos VPN Android.
Uma VPN envolve seu tráfego em um túnel criptografado para que seu provedor de Internet ou um bisbilhoteiro na rede não consiga ver o que você está fazendo. A desvantagem é que o aplicativo VPN agora vê tudo isso. Você não está eliminando a necessidade de confiar em alguém. Você está transferindo essa confiança do seu provedor de Internet para quem criou o aplicativo.
O estudo pergunta se esses aplicativos merecem. Para muitos, não.
A falha mais séria: sequestro de túnel
A pior descoberta envolve aqueles cinco aplicativos que baixam seu arquivo de configuração sem criptografia. Esse arquivo informa ao aplicativo a qual servidor se conectar. Se ele viajar em texto simples, um invasor na mesma rede, digamos, uma operadora de Wi-Fi pública, poderá reescrevê-lo em trânsito e apontar o aplicativo para um servidor que ele controla.
Arquitetura da estrutura MVPNalyzer
O usuário se conecta, vê a tela “conectada” usual e encaminha tudo através do invasor. Os pesquisadores construíram esse ataque e confirmaram que funcionava em telefones sob seu controle.
Eles sinalizaram o problema para todos os cinco provedores como uma prioridade. Dois responderam, ambos prometendo mover o arquivo para HTTPS. Um deles disse que enviaria os arquivos de configuração "de forma segura usando HTTPS com validação de certificado adequada". Os outros três não reconheceram isso.
Vazamentos e aplicativos que não escondem nada
Dos 29, 24 vazaram tráfego DNS, expondo os sites visitados pelos usuários à rede local; só esses aplicativos são responsáveis por cerca de 360 milhões de instalações. Seis vazaram todo o tráfego de navegação fora do túnel e quatro executaram "túneis" sem nenhuma criptografia, e alguns aplicativos falharam em mais de uma maneira.
Separadamente, 169 aplicativos não fizeram nenhuma tentativa de disfarçar seu tráfego como algo que não fosse uma VPN, para que uma operadora de rede ou um censor governamental pudesse identificá-los e bloqueá-los com ferramentas básicas. Quase dois terços desses aplicativos anunciam que ultrapassam o bloqueio ou desbloqueiam conteúdo restrito. Eles fazem a promessa e não fazem nada para cumpri-la.
Para alguém que mora em um país onde usar uma VPN é arriscado, ser fácil de identificar como usuário de VPN é o oposto do que ele se inscreveu.
Rastreamento, a partir dos aplicativos desenvolvidos para impedi-lo
As pessoas costumam instalar VPNs para evitar serem rastreadas. Muitos desses aplicativos rastreiam de qualquer maneira. 76 enviou o ID de publicidade do dispositivo, um código exclusivo que os anunciantes usam para seguir uma pessoa de um aplicativo para outro.
O estudo descobriu que mais de 80% dos aplicativos, 246 deles, contataram servidores conhecidos de publicidade e rastreamento. Muitos também enviaram detalhes como modelo do telefone, versão do sistema operacional e tamanho da tela.
Por si só, parecem inofensivos, mas combinados, formam uma “impressão digital” que pode destacar um dispositivo. Um aplicativo até enviou as coordenadas GPS exatas do telefone.
Configurações fracas nos bastidores
Os pesquisadores também separaram os arquivos de configuração do OpenVPN incluídos em 108 aplicativos, uma verificação separada dos testes de tráfego ao vivo acima. Apenas um seguiu todas as práticas recomendadas de segurança avaliadas pelo estudo.
Cerca de 89% dependiam de um único método de autenticação, seja uma senha ou um certificado, em vez de combinar os dois. Quase um em cada cinco usava criptografia fraca ou desatualizada, incluindo a antiga cifra Blowfish e o DES triplo. Alguns definem a cifra de dados do túnel como nenhuma, o que desativa totalmente a criptografia. Ambas as cifras antigas apresentam pontos fracos conhecidos há muito tempo (CVE-2016-6329 e CVE-2016-2183) que permitem que um invasor recupere dados de conexões de longa duração.
A maioria desses problemas remonta à mesma raiz: os aplicativos mal recebem manutenção e as verificações automatizadas da Play Store os permitem passar. Muitos estão entre os principais resultados de pesquisa, onde os rótulos de segurança do Google e o selo "Verificado" para aplicativos VPN têm como objetivo sinalizar confiança. O estudo diz que esses rótulos funcionam mais como sinais de marketing do que como verdadeiros
Os aplicativos sinalizados com pelo menos um problema foram instalados mais de 2,4 bilhões de vezes.
Os problemas são básicos, não sofisticados. 29 aplicativos permitem que o tráfego do usuário vaze para fora do túnel criptografado, incluindo pesquisas de DNS que revelam quais sites você visita. 61 aplicativos enviam alguns dados em texto simples que qualquer pessoa que observe o tráfego naquela rede possa ler.
Cinco deles enviam o arquivo de configuração do aplicativo de forma transparente, o que permite que um invasor na rede redirecione a conexão para um servidor que eles controlam.
O sistema, denominado MVPNalyzer, foi apresentado na conferência de segurança NDSS em fevereiro de 2026 por pesquisadores da Universidade de Michigan, da Universidade do Novo México e do IIT Delhi.
É uma contrapartida móvel do estudo VPNalyzer anterior do mesmo laboratório sobre software VPN para desktop, e os pesquisadores o descrevem como a primeira estrutura construída para auditar sistemática e repetidamente aplicativos VPN Android.
Uma VPN envolve seu tráfego em um túnel criptografado para que seu provedor de Internet ou um bisbilhoteiro na rede não consiga ver o que você está fazendo. A desvantagem é que o aplicativo VPN agora vê tudo isso. Você não está eliminando a necessidade de confiar em alguém. Você está transferindo essa confiança do seu provedor de Internet para quem criou o aplicativo.
O estudo pergunta se esses aplicativos merecem. Para muitos, não.
A falha mais séria: sequestro de túnel
A pior descoberta envolve aqueles cinco aplicativos que baixam seu arquivo de configuração sem criptografia. Esse arquivo informa ao aplicativo a qual servidor se conectar. Se ele viajar em texto simples, um invasor na mesma rede, digamos, uma operadora de Wi-Fi pública, poderá reescrevê-lo em trânsito e apontar o aplicativo para um servidor que ele controla.
Arquitetura da estrutura MVPNalyzer
O usuário se conecta, vê a tela “conectada” usual e encaminha tudo através do invasor. Os pesquisadores construíram esse ataque e confirmaram que funcionava em telefones sob seu controle.
Eles sinalizaram o problema para todos os cinco provedores como uma prioridade. Dois responderam, ambos prometendo mover o arquivo para HTTPS. Um deles disse que enviaria os arquivos de configuração "de forma segura usando HTTPS com validação de certificado adequada". Os outros três não reconheceram isso.
Vazamentos e aplicativos que não escondem nada
Dos 29, 24 vazaram tráfego DNS, expondo os sites visitados pelos usuários à rede local; só esses aplicativos são responsáveis por cerca de 360 milhões de instalações. Seis vazaram todo o tráfego de navegação fora do túnel e quatro executaram "túneis" sem nenhuma criptografia, e alguns aplicativos falharam em mais de uma maneira.
Separadamente, 169 aplicativos não fizeram nenhuma tentativa de disfarçar seu tráfego como algo que não fosse uma VPN, para que uma operadora de rede ou um censor governamental pudesse identificá-los e bloqueá-los com ferramentas básicas. Quase dois terços desses aplicativos anunciam que ultrapassam o bloqueio ou desbloqueiam conteúdo restrito. Eles fazem a promessa e não fazem nada para cumpri-la.
Para alguém que mora em um país onde usar uma VPN é arriscado, ser fácil de identificar como usuário de VPN é o oposto do que ele se inscreveu.
Rastreamento, a partir dos aplicativos desenvolvidos para impedi-lo
As pessoas costumam instalar VPNs para evitar serem rastreadas. Muitos desses aplicativos rastreiam de qualquer maneira. 76 enviou o ID de publicidade do dispositivo, um código exclusivo que os anunciantes usam para seguir uma pessoa de um aplicativo para outro.
O estudo descobriu que mais de 80% dos aplicativos, 246 deles, contataram servidores conhecidos de publicidade e rastreamento. Muitos também enviaram detalhes como modelo do telefone, versão do sistema operacional e tamanho da tela.
Por si só, parecem inofensivos, mas combinados, formam uma “impressão digital” que pode destacar um dispositivo. Um aplicativo até enviou as coordenadas GPS exatas do telefone.
Configurações fracas nos bastidores
Os pesquisadores também separaram os arquivos de configuração do OpenVPN incluídos em 108 aplicativos, uma verificação separada dos testes de tráfego ao vivo acima. Apenas um seguiu todas as práticas recomendadas de segurança avaliadas pelo estudo.
Cerca de 89% dependiam de um único método de autenticação, seja uma senha ou um certificado, em vez de combinar os dois. Quase um em cada cinco usava criptografia fraca ou desatualizada, incluindo a antiga cifra Blowfish e o DES triplo. Alguns definem a cifra de dados do túnel como nenhuma, o que desativa totalmente a criptografia. Ambas as cifras antigas apresentam pontos fracos conhecidos há muito tempo (CVE-2016-6329 e CVE-2016-2183) que permitem que um invasor recupere dados de conexões de longa duração.
A maioria desses problemas remonta à mesma raiz: os aplicativos mal recebem manutenção e as verificações automatizadas da Play Store os permitem passar. Muitos estão entre os principais resultados de pesquisa, onde os rótulos de segurança do Google e o selo "Verificado" para aplicativos VPN têm como objetivo sinalizar confiança. O estudo diz que esses rótulos funcionam mais como sinais de marketing do que como verdadeiros
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #estudo #de #281 #aplicativos #vpn #gratuitos #para #android #encontra #vazamentos #de #tráfego, #dados #não #criptografados #e #rastreamento
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário