Fałszywe aplikacje jako narzędzie inwigilacji
Badacze cyberbezpieczeństwa ujawnili kampanię, która pokazuje, jak łatwo można zamienić narzędzie ochrony prywatności w mechanizm śledzenia użytkownika. Grupa powiązana z Iranem miała rozpowszechniać podrobione aplikacje VPN oraz odtwarzacz multimediów, które po instalacji uruchamiały oprogramowanie szpiegujące na urządzeniach ofiar. Według analityków celem były przede wszystkim osoby pochodzenia irańskiego, zarówno mieszkające w kraju, jak i poza jego granicami.
To kolejny dowód na to, że darmowe aplikacje pobierane z przypadkowych źródeł mogą być znacznie bardziej ryzykowne niż rozwiązania oferowane przez sprawdzonych dostawców. W tym przypadku pozornie użyteczne narzędzie miało dokładnie odwrotny cel: nie chronić użytkownika, lecz zbierać o nim informacje.
Warto pamiętać, że cyberprzestępcy bardzo często wykorzystują zaufanie do popularnych usług, takich jak VPN czy odtwarzacze multimediów. Im bardziej potrzebne i „niewinne” wydaje się narzędzie, tym łatwiej skłonić użytkownika do instalacji. Dlatego źródło pobrania jest równie ważne jak sama funkcja aplikacji.
Jak działała kampania TAG-182
Za kampanią ma stać klaster aktywności oznaczany przez Recorded Future jako TAG-182. Według raportu wykorzystywano fałszywe domeny i strony dystrybucji, z których można było pobrać aplikacje niewystępujące w Google Play ani w App Store. Wśród nich pojawiały się m.in. Pis2ray VPN oraz odtwarzacz YESHICA, później przemianowany na YESHICA YEPlayer.
Po uruchomieniu takich plików na urządzeniu instalowany był MarkiRAT, czyli trojan dający atakującym zdalny dostęp do systemu. W praktyce oznacza to, że napastnik może przejąć kontrolę nad urządzeniem bez wiedzy właściciela, a następnie wykorzystywać je do dalszej inwigilacji.
MacPaw przenosi ClearVPN, który stawia prywatność na pierwszym miejscu, na największe domowe ekrany — ten przykład pokazuje, że temat prywatności w aplikacjach VPN wciąż pozostaje bardzo aktualny.
Co potrafi MarkiRAT
Z opisu badaczy wynika, że złośliwe oprogramowanie potrafi robić zrzuty ekranu i przesyłać je na serwery kontrolowane przez atakujących. Dodatkowo ukrywa swoją aktywność pod nazwami procesów, które brzmią niewinnie i nie wzbudzają od razu podejrzeń.
Szczególnie groźne jest też to, że malware wykorzystuje usługę BITS obecna w systemie Windows. To mechanizm, który zwykle odpowiada za pobieranie aktualizacji i innych legalnych plików w tle, dlatego złośliwa aktywność może łatwiej umknąć standardowym narzędziom monitorującym.
Dlaczego fałszywy VPN jest tak skuteczną przynętą
W państwach ograniczających dostęp do internetu VPN jest dla wielu osób podstawowym narzędziem umożliwiającym obejście cenzury. Właśnie dlatego użytkownicy są bardziej skłonni pobrać taki program z linku znalezionego w mediach społecznościowych, zwłaszcza gdy oficjalne sklepy z aplikacjami bywają trudno dostępne.
Insikt Group zauważył, że promocja Pis2ray VPN pojawiała się na Instagramie po protestach ulicznych w Iranie pod koniec 2025 roku, a także w okresie długotrwałej blokady internetu w kraju. To sugeruje, że kampania była precyzyjnie dopasowana do sytuacji politycznej i potrzeb użytkowników szukających szybkiego obejścia ograniczeń.
Nie pierwsza taka operacja
Recorded Future nie przypisuje TAG-182 wprost żadnej konkretnej agencji państwowej, ale wskazuje na szerszy ekosystem grup powiązanych z irańskim aparatem śledzenia. MarkiRAT nie jest też zupełnie nowym narzędziem — wcześniej był łączony z grupą Ferocious Kitten, którą Kaspersky opisywał jako odpowiedzialną za wieloletni, ukryty nadzór nad aktywistami w Iranie.
To pokazuje, że tego typu operacje nie są jednorazowymi incydentami. Raczej wpisują się w dłuższą strategię, w której cyberprzestrzeń staje się kolejnym polem działań wymierzonych w przeciwników politycznych.
Jak chronić się przed podobnym zagrożeniem
Najważniejsza zasada jest prosta: aplikacje VPN należy pobierać wyłącznie z oficjalnych źródeł. Warto też sprawdzać, czy dostawca ma realną obecność poza samą kartą aplikacji, na przykład własną stronę internetową, dokumentację i historię działania.
Trzeba również uważać na linki promowane w Instagramie, Telegramie czy wiadomościach prywatnych. Nawet jeśli aplikacja wygląda profesjonalnie, a oceny w sklepie są wysokie, nie daje to gwarancji bezpieczeństwa — fałszywe recenzje można dziś kupić bardzo łatwo.
Wnioski dla zwykłych użytkowników
Choć większość osób nie stanie się celem państwowego cybernadzoru, ta historia dobrze pokazuje mechanizm działania współczesnych kampanii szpiegowskich. Najpierw pojawia się potrzeba, potem obietnica prostego rozwiązania, a na końcu instalacja, która zamiast pomóc, otwiera atakującym drogę do urządzenia.
Dlatego przy aplikacjach związanych z prywatnością warto zachować szczególną ostrożność. Im bardziej atrakcyjna wydaje się „darmowa” usługa, tym większa szansa, że to użytkownik stanie się produktem, a nie klientem.
Wydaje mi się, że to niestety nie jest nic nowego. Ludzie często nie zdają sobie sprawy, że to, co biorą za darmowe, często okazuje się pułapką. Szczególnie w krajach z cenzurą VPN-y są kluczowe, ale ich wybor jest ryzykowny. Warto pamiętać, by korzystać tylko z zaufanych źródeł.
Znowu widzę, że fałszywe aplikacje są na porządku dziennym. To dramat, jak łatwo można oszukać ludzi. Takie zagrywki pokazują, jak ważne jest, by firma miała potwierdzoną reputację. A co z tym MarkiRAT? Już kiedyś czytałem o tym trojanie, a chyba był powiązany z kilkoma innymi zagrożeniami.
Tego typu kampanie pokazują, że zjawisko inwigilacji staje się coraz bardziej powszechne. Rozumiem, że ludzie chcą korzystać z narzędzi do obejścia cenzury, ale według mnie to zbyt ryzykowne bez sprawdzenia, co się pobiera. Nie jestem fanem instytucji rządowych, ale czasem regulacje pomogłyby w tej kwestii.
No i super, że w końcu ktoś zauważył ten problem. W Internecie pełno jest „darmowych” rzeczy, które w takiej sytuacji mogą tylko zaszkodzić. Chciałabym zobaczyć konkretne przykłady, jak ludzie w Iranie oceniali te fałszywe aplikacje i które z nich miały największy wpływ na ich prywatność.
Szokujące, ale jakie inne aplikacje mogłyby być zainfekowane? Zdarzyło mi się parę razy ściągnąć coś, co wyglądało na legitne, a potem martwiłem się, czy nie zainstalowałem trojana. Na pewno teraz dołożę więcej starań przy wyborze VPN-a. Czy ktoś zna dobrego dostawcę, któremu można zaufać?
Ciekawi mnie, czy te grupy mają jakąś kontynuację, czy to tylko incydent. Przecież te ataki muszą być jakoś koordynowane. I co z tym MarkiRAT? W dokumentacji, którą czytałem, był powiązany z innymi cyberatakami. W tę stronę można się np. lepiej przygotować, ale w końcu kto by tam czytał zeznania dowodów, prawda?