پروتکل V۲Ray؛ فرشته نجات یا درگاه نفوذ / پروکسی‌های تلگرام هویت شما را فاش می‌کنند؟

غزال زیاری- وضعیت زیرساخت اینترنت در هفته‌های اخیر، اکوسیستم دیجیتال را با چالش بی‌سابقه ای مواجه کرده است.

در شرایطی که دسترسی به پلتفرم‌های بین‌المللی محدود و اینترنت به صورت ملی در دسترس است، خیلی از کاربران برای حفظ ارتباطشان با جهان خارج، به ناچار به سراغ ابزارهای پیچیده‌ای مثل استارلینک، VPNهای رایگان و کانفیگ‌های شخصی‌سازی شده روی پروتکل‌های V۲Ray و Xray رفته‌اند.

در این بین استیصال برای اتصال، بستر ایده‌آلی برای بازیگران مخرب فراهم آورده تا با انتشار فایل‌های APK آلوده و پروکسی‌های ناامن و تنظیمات مخرب، دستگاه‌های کاربران را به «زامبی» در شبکه‌های بات‌نت تبدیل کرده یا از آن‌ها به عنوان ابزارهای جاسوسی استفاده کنند. در این مقاله قصد داریم تا به کالبدشکافی خطرهای این ابزارها برای امنیت فردی بپردازیم:

یکی از مفاهیم مهم برای درک خطرهای ابزارهای دور زدن فیلترینگ، نحوه تعامل این ابزارها با هسته سیستم‌عامل اندروید است.

اکثر برنامه‌های VPN برای ایجاد یک تونل ایمن، نیاز به مجوزی تحت عنوان BIND_VPN_SERVICE دارند. این مجوز به برنامه اجازه می‌دهد تا کنترل کامل ترافیک ورودی و خروجی دستگاه را در دست بگیرد. در شرایطی که این قابلیت برای حفظ حریم خصوصی طراحی شده، اما بعضی از توسعه‌دهندگان از آن به عنوان ابزاری برای پایش دقیق فعالیت‌های آنلاین کاربر استفاده می‌کنند.  

ریسک دسترسی‌های حساس در VPNهای رایگان

تحقیقات امنیتی حاکی از آن است که درصد بالایی از VPN‌های اندرویدی، دسترسی‌هایی فراتر از نیاز عملیاتی خود درخواست می‌کنند.

جالب اینجاست که حتی اگر یک VPN مدعی رمزنگاری داده‌ها باشد، وقتی مجوز مدیریت شبکه را دارد، می‌تواند پیش از رمزنگاری یا پس از رمزگشایی در مقصد (در صورت کنترل سرور)، به محتوای پیام‌ها، نام‌های کاربری و گذرواژه‌ها دسترسی پیدا کند.  

خطر تولد «زامبی‌های دیجیتال» در سایه قطعی اینترنت

در ادبیات امنیت سایبری، «زامبی» به دستگاهی گفته می‌شود که به بدافزار آلوده شده و بدون اطلاع صاحبش، دستورات یک مهاجم از راه دور را اجرا می‌کند. در شرایطی که اینترنت قطع می‌شود و مردم به دنبال هر راهی برای اتصال هستند، بدافزارهای بات‌نت در قالب فایل‌های APK و با نام‌های وسوسه‌انگیزی مثل «VPN پرسرعت رایگان» یا «فیلترشکن استارلینک» منتشر می‌شوند.  

گوشی شما، پناهگاه جدید مجرمان اینترنتی

گزارش‌های جدید از شناسایی یک تهدید سایبری گسترده به نام «PROXYLIB» در سال ۲۰۲۶ خبر می‌دهند. در این عملیات نفوذ، بیش از ۲۹ اپلیکیشن فیلترشکن (VPN) در فروشگاه‌های معتبر و غیررسمی شناسایی شده‌اند که گوشی کاربران را بدون اطلاع آن‌ها به یک ابزار واسطه برای مجرمان تبدیل می‌کنند.

بر اساس این گزارش، این برنامه‌ها پس از نصب، گوشی شما را به یک «نود پروکسی مسکونی» تبدیل می‌کنند؛ به این معنا که افراد ناشناس در نقاط دیگر جهان، فعالیت‌های اینترنتی خود را از طریق اتصال گوشی شما انجام می‌دهند.

پیامدهای خطرناک این بدافزار برای کاربران

این سوءاستفاده امنیتی می‌تواند تبعات جدی و جبران‌ناپذیری به همراه داشته باشد:

• کاهش سرعت و عمر دستگاه: این فرآیند به صورت مخفیانه از حجم اینترنت و توان باتری گوشی استفاده می‌کند که نتیجه آن کندی شدید دستگاه و تخلیه زودهنگام شارژ است.

• خطر پیگرد قانونی برای کاربر: از آنجایی که مجرمان با هویت اینترنتی (IP) گوشی شما دست به اقدامات مجرمانه مثل حمله به بانک‌ها می‌زنند، در صورت ردیابی، شما از نظر سیستمی به عنوان عامل جرم شناخته خواهید شد.

• تجارت سیاه با اینترنت کاربران: برخی از این نرم‌افزارها (مانند پلتفرم LumiApps) در ازای عبور ترافیک غیرقانونی از گوشی شما، مبالغی را به عنوان پاداش به توسعه‌دهندگان این برنامه‌های مخرب پرداخت می‌کنند.

کارشناسان توصیه می‌کنند برای حفظ امنیت اطلاعات و جلوگیری از سوءاستفاده‌های حقوقی، از نصب فیلترشکن‌های نامعتبر و ناشناس جداً خودداری کنید.

فایل‌های APK ناشناس: درگاه ورود تروجان‌های بانکی و جاسوسی

نصب فایل‌های خارج از فروشگاه رسمی این روزها به یک هنجار تبدیل شده، اما این عمل سیستم‌های حفاظتی از جمله  Google Play Protect را دور می‌زند. بدافزارهایی مثل Albiriox و Klopatra که در سال‌های ۲۰۲۵ و ۲۰۲۶ شناسایی شده‌اند، از همین طریق قربانیان خود را جذب می‌کنند.  

مکانیسم عملکرد تروجان‌های پیشرفته (RAT)

تروجان‌های دسترسی از دور (RAT) فراتر از یک بدافزار ساده‌اند و عملاً یک نسخه «روح» از گوشی شما در اختیار مهاجم قرار می‌دهند.

این بدافزارها از تکنیکی به نام «حمله هم‌پوشانی» استفاده می‌کنند و وقتی کاربر اپلیکیشن بانکی‌اش را باز می‌کند، بدافزار یک صفحه جعلی دقیقاً مشابه صفحه بانک روی آن نمایش می‌دهد. کاربر اطلاعات ورود را وارد می‌کند و این اطلاعات مستقیماً به سرور مهاجم ارسال می‌شود. 

خطرات V۲Ray و کانفیگ‌های ناشناس

پروتکل‌های جدیدی از جمله VMess، VLESS و Trojan که در قالب ابزارهای V۲Ray ، V۲Boxو Xray استفاده می‌شوند، از آنجا که توانایی بالایی در دور زدن فیلترینگ و مخفی‌سازی ترافیک دارند، به شدت محبوب شده‌اند. البته باید مدنظر داشت که استفاده از «کانفیگ‌های رایگان» که در کانال‌های تلگرامی منتشر می‌شوند، خطرات فنی زیادی دارد:

ریسک‌های تزریق JSON و نشت داده  

کانفیگ‌های V۲Ray فایل‌هایی با ساختار JSON هستند. اگر این فایل‌ها توسط افراد غیرقابل اعتماد ساخته شده باشند، می‌توانند آسیب‌پذیری‌های نرم‌افزاری را فعال کنند.

• تزریق داده‌های مخرب: مهاجم می‌تواند با دستکاری ساختار JSON، رفتارهای غیرمنتظره‌ای در اپلیکیشن ایجاد کند که منجر به افشای حافظه یا نشت آدرس‌های آی‌پی واقعی کاربر می شود.  
• انگشت‌نگاری : طبق گزارش شرکت امنیتی ۷ASecurity، خیلی از تنظیمات پیش‌فرض در V۲Ray اجازه می‌دهند که مهاجم، ترافیک کاربر را به راحتی شناسایی و از سایر ترافیک‌های عادی وب (مانند HTTPS واقعی) تمایز دهد.  

نشت متا دیتا و SNI Sniffing

در پروتکل‌هایی مثل VLESS که برای مخفی‌کاری از TLS استفاده می‌کنند، قابلیتی به نام SNI (Server Name Indication) وجود دارد.

اگر کانفیگ به درستی تنظیم نشده باشد، نام وب‌سایت‌هایی که کاربر قصد بازدید از آن‌ها را دارد در دست‌دهی اولیه (Handshake) به صورت غیررمزنگاری شده ارسال می‌شود. این امر به سرور پروکسی و همچنین ناظران شبکه اجازه می‌دهد تا دقیقاً بدانند کاربر در حال مشاهده چه محتوایی است.  

پروکسی‌های تلگرام (MTProto): توهم امنیت و واقعیت نشت آی‌پی

خیلی از کاربران در زمان قطع اینترنت، به پروکسی‌های داخلی تلگرام متکی هستند. اگرچه تلگرام محتوای پیام‌ها را رمزنگاری می‌کند، اما استفاده از پروکسی‌های ناشناس ممکن است منجر به افشای هویت دیجیتال کاربر شود.

۱. آسیب‌پذیری کاربران در مقابل لینک‌های پروکسی: تحقیقات نشان داده که لینک‌های پروکسی تلگرام (t.me/proxy) می‌توانند به گونه‌ای طراحی شوند که به محض کلیک کاربر، آدرس آی‌پی واقعی او را برای سرور مهاجم ارسال کنند، حتی پیش از آنکه کاربر پروکسی را فعال کند.

۲. جمع‌آوری متا دیتا: اپراتور یک پروکسی رایگان شاید نتواند پیام‌های شما را بخواند، اما می‌تواند بفهمد که شما در چه ساعاتی از شبانه‌روز آنلاین هستید، با چه کسانی (از طریق حجم ترافیک) بیشترین تعامل را دارید و موقعیت مکانی تقریبی شما کجاست.

این اطلاعات برای شناسایی و رهگیری افراد در شرایط بحرانی ارزشمند است.  

VPNهای رایگان: تجارت با حریم خصوصی

یک اصل ثابت در امنیت سایبری وجود دارد: «اگر برای محصولی پول نمی‌پردازید، شما خودتان محصول هستید.» VPNهای رایگان، برای بقا به منابع مالی نیاز دارند و این منابع معمولاً از طریق تخریب امنیت کاربر تامین می‌شود.  

تزریق کدهای جاوا اسکریپت و تبلیغات مخرب

بعضی از VPN‌های رایگان از تکنیک «پروکسی‌های غیرشفاف» استفاده می‌کنند. در این حالت، برنامه کدهای جاوا اسکریپت مخربی را در ترافیک وب کاربر تزریق می‌کند. این کدها می‌توانند:

• تبلیغات ناخواسته در صفحاتی که کاربر مشاهده می‌کند نمایش دهند.  
• رفتار کاربر را در سایت‌های مختلف ردیابی کنند.
• به منظور سرقت اطلاعات بانکی، کاربر را به سایت‌های فیشینگ هدایت کنند.  

بررسی ۸۰۰  VPN رایگان نشان داد که حدود ۱۸٪ از آن‌ها اصلاً از هیچ پروتکل رمزنگاری استفاده نمی‌کردند، به این معنی که تمام داده‌های کاربر در طول مسیر برای هر کسی قابل خواندن بوده است.  

برای توضیح خطرهای احتمالی به کاربرانی که دانش فنی ندارند، می توان از این مثال‌ها استفاده کرد:

۱. فیلترشکن مثل یک تونل تاریک است: فرض کنید در یک جاده در حال حرکت هستید و همه شما را می‌بینند. VPN برای شما یک تونل مخفی می‌سازد.

اما اگر یک فرد ناشناس این تونل را به صورت رایگان برای شما ساخته باشد، ممکن است در اواسط راه، دیوارهای تونل از جنس شیشه ساخته باشد یا در انتهای تونل، تمام وسایل شما را بازرسی کنند.

۲. زامبی شدن مثل تسخیر خانه است: نصب یک APK آلوده مثل این است که کلید خانه‌تان را به یک غریبه بدهید. او به شما اجازه می‌دهد تا در خانه زندگی کنید، اما شب‌ها وقتی خواب هستید، از تلفن و برق خانه شما برای انجام کارهای تبهکارانه استفاده می‌کند و وقتی پلیس هم در جریان قرار بگیرد، شما مقصر خواهید بود.  

راهکارهای حفاظتی و توصیه‌های فنی برای کاربران

رعایت این نکات برای کاهش ریسک ضروری است:

• استفاده از احراز هویت دو مرحله‌ای (۲FA) غیر پیامکی
• نصب برنامه فقط از Google Play یا GitHub رسمی
• استفاده از Lockdown Mode در iOS
• استفاده از ابزارهای اوپن‌سورس و حسابرسی شده

تشخیص لینک‌های مخرب کانفیگ:

کاربران باید یاد بگیرند که نشانه‌های خطر در لینک‌های V۲Ray را شناسایی کنند:

• دامنه‌های عددی: اگر آدرس سرور فقط یک آی‌پی (مثلاً ۱.۲.۳.۴) است و نام دامنه ندارد، ریسک بالاتری دارد.  
• پارامترهای مشکوک: وجود allowInsecure=true در لینک به معنای غیرفعال کردن بررسی امنیت گواهی (Certificate) است که مسیر را برای حملات باز می‌کند.  
• کوتاه‌کننده‌های لینک: لینک‌هایی که با Bitly یا TinyURL کوتاه شده‌اند، مقصد واقعی خود را پنهان می‌کنند و باید با احتیاط باز شوند.  

قطع اینترنت ، کاربران را در موقعیت انتخاب بین «انزوای کامل» و «اتصال پرخطر» قرار داده است.

یافته‌ها نشان می‌دهد که بخش بزرگی از ابزارهای رایگان و فایل‌های منتشر شده در فضای غیررسمی، نه برای کمک به کاربر، بلکه با هدف بهره‌برداری از منابع دستگاه او یا جاسوسی طراحی شده‌اند. تبدیل شدن گوشی‌های هوشمند به زامبی‌های دیجیتال در عملیاتی مثل PROXYLIB، نشان‌دهنده ابعاد وسیع و سازمان‌یافته این تهدیدات است.  

تنها راه مقابله با این تهدیدها، یک کاربر عادی فقط باید دانش فنی خود را افزایش دهد. در نهایت، باید به یاد داشت که در فضای دیجیتال امروز، امنیت و دسترسی دو روی یک سکه هستند و بی‌توجهی به یکی، دیگری را نیز از بین خواهد برد.  

منابع: scworld ، ۷asecurity، torguard، computing، malwarebytes، zdnet

۲۲۷۲۲۷