Google elimina la VPN de Android por vulnerabilidad crítica

Google ha eliminado un programa VPN de Android de la tienda Google Play después de que los investigadores le notificaron de una vulnerabilidad crítica. La aplicación, SuperVPN, se ha descargado más de 100,000 veces.

Las redes privadas virtuales (VPN) permiten a los usuarios crear conexiones encriptadas a servidores en l√≠nea que luego sirven como su puerta de entrada a Internet. Permiten a los usuarios hacer un t√ļnel seguro a Internet cuando utilizan conexiones locales no confiables, como las de lugares p√ļblicos como cafeter√≠as. En teor√≠a, deber√≠an evitar que los intrusos detecten tu tr√°fico en redes inseguras. SuperVPN es uno de los muchos programas que supuestamente cumplen esta funci√≥n para tel√©fonos Android.

VPNpro, una compa√Ī√≠a que revisa y asesora sobre productos VPN, advirti√≥ en febrero de una vulnerabilidad en el producto que podr√≠a causar un ataque de hombre en el medio (MITM), permitiendo que un intruso se inserte entre el usuario y el servicio VPN. Dijo en ese momento:

Lo que ha hecho esta aplicación VPN es dejar que sus usuarios, personas que buscan privacidad y seguridad adicionales, tengan menos privacidad y seguridad que si no hubieran usado ninguna VPN.

El programa estaba enviando datos cifrados, pero codificó la clave de descifrado, dijo el sitio de revisión. El descifrado de los datos reveló información sobre el servidor de SuperVPN, los certificados y las credenciales de autenticación. VPNpro pudo reemplazar esos datos con los suyos.

Eso significa que el atacante puede obligar a SuperVPN a conectarse a un servidor falso. Esto le permite ver todos los datos del usuario, incluidas las contrase√Īas, los mensajes de texto privados y los mensajes de voz, dijo VPNpro.

VPN de Android en serios problemas

Google elimina la VPN de Android por vulnerabilidad crítica

El investigador de VPNpro, Jan Youngren, descubrió la vulnerabilidad en octubre de 2019 y agregó que su desarrollador, SuperSoftTech, probablemente con sede en Beijing, no respondió a su notificación. En cambio, notificó al Programa de Recompensas de Seguridad de Google Play (GPSRP), operado para Google por HackerOne. Ese equipo tampoco pudo obtener una respuesta de SuperSoftTech. Así que eliminó el programa de la tienda Google Play el 7 de abril de 2020.

Esta no es la primera vez que SuperVPN ha surgido en la investigación de vulnerabilidades. También recibió una mención en un documento de 2016 que investigó los riesgos de seguridad en las VPN de Android. Esa investigación, presentada en la Conferencia de Medición de Internet (IMC) 2016 de la Association for Computing Machinery, encontró que 13 programas antivirus detectaron actividad de malware en el software. Tomó el tercer lugar en una clasificación de las VPN de Android marcadas con mayor frecuencia con actividad de malware por parte de los programas antivirus.

SuperVPN no fue la √ļnica VPN de Android que plante√≥ las preocupaciones de VPNpro. Identific√≥ a otras nueve personas en su publicaci√≥n de blog de febrero que, seg√ļn dijo, ten√≠an vulnerabilidades cr√≠ticas que dejaban a sus usuarios vulnerables a los ataques MITM. Una comprobaci√≥n r√°pida muestra que varios de ellos todav√≠a est√°n disponibles para descargar en Play Store.

:)