Η Google κατάργησε αυτήν την εβδομάδα από το Play Store ένα Android app με την ονομασία NEXTA LIVE (com.moonfair.wlkm), το οποίο χρησιμοποιούταν για τη συλλογή προσωπικών δεδομένων από διαδηλωτές στη Λευκορωσία που στρέφονταν κατά της κυβέρνησης. Αυτό το app ήταν διαθέσιμο για τρεις περίπου εβδομάδες στο Android Play Store. Μέχρι τη στιγμή της κατάργησής του, το app είχε κατέβει κι εγκατασταθεί από χρήστες χιλιάδες φορές, ενώ είχε λάβει επίσης εκατοντάδες κριτικές.
Για να παρακινήσει χρήστες να το κατεβάσουν, το NEXTA LIVE παρουσιαζόταν ως το επίσημο Android app του Nexta, ενός ανεξάρτητου πρακτορείου ειδήσεων στη Λευκορωσία, το οποίο έγινε αρκετά δημοφιλές με τους διαδηλωτές κατά του Λουκασένκο, μετά τα περιστατικά αστυνομικής βίας που σημειώθηκαν κατά τις πρόσφατες αντικυβερνητικές διαδηλώσεις στη Λευκορωσία.
Ωστόσο, το Nexta δήλωσε στο Telegram την προηγούμενη εβδομάδα ότι το app δεν είχε καμία σχέση με την υπηρεσία του και ότι σχεδιάστηκε για τη συλλογή δεδομένων χρηστών, ώστε να προσδιοριστεί η ταυτότητα των διαδηλωτών. Έτσι, το Nexta προειδοποίησε τους χρήστες να μην το εγκαταστήσουν. Το Nexta ζήτησε επίσης από τους χρήστες να απεγκαταστήσουν αμέσως το app από τις συσκευές τους, να το αξιολογήσουν με κακή βαθμολογία και να το αναφέρουν στην Google. Αυτή η στρατηγική μαζικής αναφοράς αποδείχθηκε αποτελεσματική και το app καταργήθηκε αυτήν την εβδομάδα. Ωστόσο, για πολλούς χρήστες η ζημιά έχει ήδη γίνει.
Σύμφωνα με έναν Λευκορώσο ερευνητή ασφαλείας, του οποίου η ταυτότητα δεν θα αποκαλυφθεί για την προστασία του απορρήτου του, το app σχεδιάστηκε για σκοπούς μαζικής συλλογής δεδομένων. Ειδικότερα, σε μια συνοπτική ανάλυση που μοιράστηκε με τους αναγνώστες του Nexta, ανέφερε ότι το app σχεδιάστηκε για τη συλλογή δεδομένων τοποθεσίας, πληροφοριών σχετικά με τον κάτοχο της κάθε συσκευής και την επακόλουθη μεταφόρτωση των δεδομένων σε έναν απομακρυσμένο server ανά τακτά χρονικά διαστήματα.
Επιπλέον, ο Gabriel Cîrlig, ερευνητής Android malware, δήλωσε ότι το app φαίνεται να επικοινωνεί με ένα domain που φιλοξενείται σε μια ρωσική διεύθυνση IP, στον ιστότοπο arcpi.nextialive.roimaster [.] (89.223.89 [. ] 47). Τόσο το domain όσο και η διεύθυνση IP δεν αναφέρονται σε ροές πληροφοριών σχετικά με απειλές, αφού φαίνεται να μην συνδέονται με προηγούμενες malware εκστρατείες. Ωστόσο, η ίδια διεύθυνση IP φιλοξένησε στο παρελθόν άλλα ύποπτα domains – για παράδειγμα, τον ιστότοπο hackappnewcrmuzbekistan.roimaster [.]– γεγονός που υποδηλώνει ότι υπάρχουν περισσότερα σε αυτόν τον server από ό, τι μπορεί να φαίνεται.
Παρόλα αυτά, μια λειτουργία συλλογής δεδομένων τοποθεσίας δεν έχει θέση σε ένα app που εστιάζει στις ειδήσεις, πόσο μάλλον σε αυτό που είναι δημοφιλές στους αντικυβερνητικούς διαδηλωτές, σε μια πολιτικά ασταθή χώρα η οποία, επί του παρόντος, κυβερνάται από έναν αυταρχικό ηγέτη που αγωνίζεται να παραμείνει στην εξουσία.
Παρόλο που δεν υπάρχει κάποια προφανής σύνδεση του ψεύτικου Nexta app με την κυβέρνηση του Μινσκ, αυτή δεν θα ήταν η πρώτη φορά που μια κυβέρνηση θα προσπαθούσε να κατασκοπεύσει τους πολίτες της εν μέσω αντικυβερνητικών διαδηλώσεων, προκειμένου να εντοπίσει τους διαδηλωτές που στρέφονται εναντίον της. Παρόμοια περιστατικά είχαν λάβει χώρα στη Βενεζουέλα και το Ιράν το 2019, αλλά και στις ΗΠΑ, νωρίτερα φέτος, κατά τη διάρκεια διαδηλώσεων του κινήματος “Black Lives Matter”.
Επιπλέον, οι πολίτες της Λευκορωσίας είναι εύλογα επιφυλακτικοί απέναντι στο συγκεκριμένο app και θεωρούν πιθανό το ενδεχόμενο αυτό να συνδέεται με την κυβέρνηση, λαμβάνοντας υπόψη ότι νωρίτερα φέτος η αστυνομία της Λευκορωσίας εισέβαλε στα γραφεία των εταιρειών Yandex και Uber, σε αυτό που οι διαδηλωτές περιέγραψαν ως απόπειρα απόκτησης δεδομένων τοποθεσίας διαδρομής, για να προσδιορίσει ποιοι συμμετείχαν στις αντικυβερνητικές διαδηλώσεις.
