Китайский браузер Sogou Explorer шпионит за пользователями

APNIC – это RIP-регистратор, в функции которого входит распределение номеров автономных систем и IP-адресов, регистрация обратных зон DNS и других технических проектов в регионе наряду с ARIN, RIPE NCC, LACNIC и AfriNIC. Неутешительные выводы APNIC отражаются в докладе, подготовленном экспертами организации Джеффом Хьюстоном, Джорджем Михаельсоном и Байроном Еллакотом. Они заподозрили странную интернет-активность браузера Sogou и решили все перепроверить. Странная активность обозревателя выражается в отправке пакетов на неизвестные интернет-сервера по уникальным ссылкам.

Чтобы разобраться в проблеме, эксперты APNIC разработали тестовый скрипт на основе Google Ads, который обычно используется для измерения степени распространенности набора расширений DNSSEC и протокола IPv6 среди пользователей. Обычно скрипт проводит за день около 500 000 тестовых проверок. В рамках каждого такого запуска генерируется уникальная ссылка с привязкой к серверам APNIC, что гарантирует фиксацию абсолютно всех попыток получить доступ к ресурсу по ссылке.

В логах веб-сервера исследователи обнаружили уникальную ссылку, по которой браузер Sogou пытается загрузить изображение. Немногим позже логи обновляются и по этой же ссылку обращаются уже другие IP-адреса, чего быть не должно.

За 248 дней с начала года APNIC получили запросы от 123 110 633 уникальных IP-адресов, 317 309 из которых пытались получить доступ к уникальным ссылкам. Это означает примерно следующее: 1 из 400 запросов отслеживается неизвестными лицами. Конечно, ученые не стали бы обвинять браузер в слежке, если бы не обработали все данные повторно и все не перепроверили.

Итак, повторные запросы выполняются на региональных прокси-серверах для дальнейшего предоставления пользователям свежих данных из локального кеша. Однако в опросах прокси-серверов внешних ресурсов прослеживается цикличность через определенные промежутки времени, поэтому в итоге они были отсеяны. Возможно, запросы отсылают провайдеры и/или национальные структуры, но исследователи профильтровали все данные от подобных случаев.

Также они проверили параметр user-string, который используется для передачи в браузер всех данных о запросе. В итоге выяснилось, что браузер Sogou Explorer основан на движке Chromium.

Есть вероятность, что специалисты APNIC имеют делом с вирусом, приспособившимся эксплуатировать ошибки в Windows или движке Chromium. Похоже, большая часть повторных запросов в китайском браузере отправляется с иных серверов, базирующихся в Китае. На данный момент разработчики браузера Sogou не прокомментировали эту информацию.