Где ломается VPN: 3 истории о фильтрации, Android и фишинге

Выпуск 19 октября о том, как сетевые ограничения становятся жёстче, а VPN перестаёт гарантировать незаметность. В трёх историях сегодня: почти полностью закрытый зарубежный трафик из Ирана, обнаружение VPN в рабочем профиле Android и фишинг администраторов WatchGuard.

• Из Ирана наружу стабильно проходит преимущественно ICMP-трафик
• Туннели упираются в лимит около 50 тысяч пакетов в секунду
• Shelter оставляет видимыми tun0 и маршруты VPN
• Поддельный сайт WatchGuard крадёт данные администраторов

В Иране зарубежный трафик почти свели к ICMP

С начала октября 2026 года на части маршрутов из Ирана за рубеж стабильно проходит в основном ICMP. TCP, UDP, GRE, IPIP, SCTP и ESP обрываются после нескольких пакетов, поэтому обычные соединения и многие туннели фактически перестают работать.

Такие результаты получили при измерениях на парах серверов Иран - Европа. Данные опубликованы на форуме net4people, а замеры выполнялись через открытый туннель WatTunnel.

Ограничения затрагивают и входящий поток. Его скорость упирается примерно в 50-55 тысяч пакетов в секунду. При объёме выше 30 МБ/с трафик через 5-30 секунд перенаправляется внутри Ирана, после чего скорость падает примерно до 2 МБ/с.

Отдельно проявляется фильтрация соединений через Cloudflare. Вариант с wss без ECH блокируется после TLS-рукопожатия, что похоже на проверку SNI. При включённом ECH соединения продолжают работать на скорости 44-48 МБ/с.

Для пользователей это означает, что проблема может быть не в самом VPN-сервере. Соединение обрывается на уровне протокола, скорости или маршрутизации внутри страны. При этом ICMP остаётся рабочим, но его недостаточно для полноценного доступа к внешним сервисам.

Shelter не прячет VPN от приложений рабочего профиля

Shelter позволяет вынести приложения в рабочий профиль Android и отделить их от личного профиля. Но это не скрывает сам факт работы VPN от приложений, которые умеют проверять сетевую конфигурацию.

Автор проверил сценарий с помощью RKNHardering 2.11.0 на Vivo Y53s под Android 13, без root. VPN был включён в личном профиле, а проверка выполнялась из рабочего профиля Shelter.

Список установленных VPN-приложений и флаг TRANSPORT_VPN из рабочего профиля не обнаруживались. Зато приложение видело интерфейс tun0 и туннельные маршруты с MTU 1280, пока VPN оставался включённым.

Это важная разница: изоляция профилей скрывает часть информации о приложениях, но не устраняет сетевые признаки туннеля. Поэтому перенос российских приложений в отдельный профиль и исключение их из VPN-маршрутизации не гарантируют, что VPN невозможно обнаружить.

Связывать такую возможность обнаружения с блокировками аккаунтов пока рано. Автор рассматривает эту связь только как предположение, а проверка показывает лишь технический факт: tun0 и маршруты могут оставаться видимыми рабочим приложениям.

Фальшивый сайт WatchGuard отдавал настоящий установщик

Исследователи Huntress обнаружили сайт watchguard-vpn[.]net, который имитировал страницу загрузки клиента Mobile VPN with SSL. Посетителю предлагали указать адрес сервера, логин и пароль администратора.

Введённые данные отправлялись на домен watchguard-ssl[.]online. Скрипт специально отклонял первую попытку входа, чтобы пользователь ввёл учётные данные повторно. После второй отправки сайт скачивал установщик WatchGuard версии 12.11.5 с официального CDN.

Файл имел действительную цифровую подпись, поэтому защитные решения могли не увидеть в нём угрозу. Жертва получала рабочий установщик и могла решить, что столкнулась с обычной ошибкой авторизации, хотя данные администратора уже уходили злоумышленникам.

Домен загрузки зарегистрировали 22 августа 2026 года. К 13 октября основной сайт уже был отключён. На фишинговую страницу администратора MSP привёл поиск в Bing.

Этот случай хорошо показывает, почему проверка подписи файла не заменяет проверку источника загрузки. Подписанный установщик может быть настоящим, но форма перед ним всё равно способна красть логины и пароли. Для VPN-администраторов безопаснее открывать загрузки через заранее сохранённый официальный адрес и не повторять ввод после неожиданной ошибки авторизации.

P.S. Больше свободы в сети - заходите в бот

По разработке ботов - пишите в личные сообщения