Контакты
Подписка 2024
Персональные данные
4 апреля. Персональные данные в 2024 году: регулирование, практика, тенденции
Регистрируйтесь на онлайн-конференцию!

Исследователи зафиксировали странное поведение NordVPN

29/04/19

NordVPNИсследователи безопасности и пользователи всерьез обеспокоены странным поведением NordVPN, которое разработчики приложения не могут толком объяснить. Как оказалось, NordVPN подключается к странным доменам подобно тому, как скомпрометированные системы подключаются к C&C-серверам ботнетов.

О том, что происходит что-то неладное, первым сообщил читатель сетевого издания The Register по имени Дэн (Dan). Установленные в его офисной сети решения безопасности вдруг начали выдавать предупреждения о подозрительном трафике с ноутбука одного из посетителей. Как показал анализ записей журнала, устройство подключалось к нескольким «мусорным» доменам.

Странный трафик также был обнаружен исследователем безопасности Райаном Нимесом (Ryan Niemes). Однако Нимес выявил еще одну вещь – у подозрительных доменов отсутствовал владелец. Исследователь купил их и запустил EC2 с целью выяснить, что же на самом деле происходит. Запустив команду netstat, он увидел подключение к порту 443. «Я зарегистрировал сертификат Letsencrypt и стал наблюдать за появлением записей в журнале», – сообщил Нимес.

Исследователь в частном порядке уведомил разработчиков NordVPN о своей находке, и в качестве благодарности получил три года бесплатной подписки. Разработчики пообещали исправить проблему, однако после выхода обновлений подозрительные подключения никуда не делись. Нимес установил обновленную версию NordVPN для тестирования и обнаружил входящие подключения, устанавливаемые клиентами с «NordVPN» в строках user-agent.

Исследователь обнаружил внутри HTTPS-трафика запросы API уже к другим доменам. «Обнаруженные мною POST-запросы вызывают опасения, так как поле renewtoken является уникальным», - заметил Нимес. По его словам, строка user-agent и запросы раскрывали версию приложения, сборку ОС хоста и адрес IPv4 пользователя.

Как заявляют в NordVPN, подключение к странным доменам является частью механизма для обхода блокировок.

Подробнее: https://www.securitylab.ru/news/498950.php

Темы:ОтрасльVPN-сервисыполитика компании
NGFW
9 апреля. Отечественные NGFW: как защитить облачную инфраструктуру и настроить обнаружение кибератак
Участвуйте и представляйте решения!

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
SOAR, IRP, SOC
Спецпроекты журнала "Информационная безопасность"
Станьте автором издания!

Еще темы...

More...