Бесплатные игры студии Appsalt могут превращать компьютеры пользователей в промежуточные узлы для чужого интернет-трафика. Компания Spur обнаружила связь игровых приложений и браузерных расширений с прокси-инфраструктурой, которая позволяет посторонним использовать чужие IP-адреса.
В центре расследования оказалась модель заработка, при которой разработчик получает доход не только от рекламы или покупок внутри игры. Вместо привычной монетизации приложение может предоставлять третьим лицам доступ к интернет-соединению пользователя. Владелец устройства продолжает играть, а его подключение параллельно обслуживает запросы посторонних клиентов.
Подобная схема лежит в основе резидентных прокси. Такие сети объединяют реальные домашние IP-адреса, через которые заказчики отправляют запросы к сайтам и онлайн-сервисам. Для принимающей стороны соединение выглядит как обращение обычного посетителя, хотя фактический отправитель может находиться совершенно в другой стране.
Прокси-компонент обычно встраивают в приложение через SDK, программный модуль стороннего поставщика. Разработчик получает дополнительный источник дохода, а посредник расширяет сеть доступных адресов. Для работы подобного модуля нередко достаточно обычного доступа к интернету, поэтому операционная система не обязательно показывает отдельный запрос разрешений.
Опасность заключается не только в расходе трафика и ресурсов устройства. Через домашний адрес могут проходить автоматизированные запросы, попытки обхода ограничений и другая подозрительная активность. Если принимающий сервер обнаружит злоупотребление, в журналах останется IP-адрес владельца игры. При этом сама по себе работа прокси не доказывает, что соединение использовали преступники.
Специалисты Spur уже исследовали аналогичную практику в других категориях программ. В сентябре компания выявила использование браузерных расширений с модулем Mellowtel для передачи стороннего трафика. Среди затронутых продуктов встречались обычные таймеры и калькуляторы. Число связанных с инфраструктурой IP-адресов исследователи оценивали примерно в 90 тысяч до вмешательства Google.
Проблема затрагивает и устройства, которые редко рассматривают как источники сетевой угрозы. Летом Spur обнаружила прокси-компоненты в 2058 из 6038 проверенных приложений для телевизоров LG и Samsung. Программы выглядели как игры и полезные утилиты. Однако наличие SDK не всегда означает скрытую передачу трафика, поскольку некоторые приложения запрашивают согласие пользователя.
Новая публикация Spur посвящена деятельности Appsalt и распространению прокси-функций через бесплатные игры и браузерные расширения. Проверить полный перечень затронутых продуктов, число активных устройств и условия согласия пользователей пока не удалось. Без таких сведений нельзя утверждать, что все установки сопровождались скрытым подключением к сети.
Схема показывает, почему даже работающая бесплатная игра может создавать дополнительные риски. Для защиты полезно проверять издателя, разрешения и условия использования программы, а также удалять ненужные расширения. Сам факт бесплатной установки не означает злоупотребления, но разработчик должен ясно объяснять, если приложение предоставляет посторонним доступ к интернет-соединению.
