Possível malware no cliente VPN oficial do Torguard para Windows?

O cliente VPN do Torguard consome intermitentemente 50% de CPU, por longos períodos, sem relação com qualquer atividade de rede, o que acho suspeito. Detalhes abaixo. Já relatei isso ao suporte técnico da TG, que negou repetidamente que tal comportamento exista. Estou percebendo isso consistentemente em 4 máquinas com Windows onde o TG está rodando.

Não tenho certeza de onde reportar isso, pois não há subreddit do TG e o subreddit de VPN não permite mencionar serviços específicos. Espero que vocês possam me orientar ou dar algum conselho.

Então, se o app está rodando e a VPN está conectada, mesmo que não haja outros apps abertos, o cliente TG começa aleatoriamente a consumir uma CPU constante de 50%. Não consigo correlacionar isso com nenhuma outra condição, como tráfego de rede ou atividade de outros aplicativos, ou algo óbvio que o TG esteja fazendo. Se minimizo a janela do cliente TG, para. E então ele começa novamente em alguns minutos, e eu repito o procedimento, e para. Se não fizer isso, continua indefinidamente. Assim, cada computador onde isso acontece sofre um aumento significativo de calor/consumo de energia e degradação do desempenho da CPU devido ao TG.

Tirei capturas de tela desse comportamento usando o Gerenciador de Tarefas. Também monitorei com o Process Monitor da Winternals, que fornece informações muito mais detalhadas. – Mas esse fórum não permite imagens.

Normalmente, se um subreddit não permite imagens, eles querem Imgur.

Acho que a questão, impedindo as pessoas de responderem, é o que faz você pensar que é malicioso e não apenas um código ruim.

Dependendo da duração/frequência, isso pode estar relacionado a negociações de chaves ou outras operações. Parece um pouco grande, porém…

Me dê um tempo para ver se estou tendo esse problema também. Responderei em algumas horas ou amanhã. Mas informarei o uso independentemente.

Pode ser código mal escrito.
Talvez a base de código deles tenha sido comprometida sem que saibam por um agente malicioso. Tenho certeza de que governos gostariam de saber o que as pessoas estão fazendo com esses VPNs…
Talvez um dos desenvolvedores deles tenha programado algo malicioso.
Provavelmente a primeira opção.
Você pode tentar monitorar com Procmon e Wireshark para ver que atividade ocorre durante os picos de CPU.
Verifique também o EULA mais recente para ver se há alguma declaração sobre o que eles podem fazer no seu computador.

Eu costumava usar o Torguard e acabei não renovando devido ao aumento de comportamentos estranhos. Fiquei desapontado, pois confiava em alguém e era a opção mais econômica.

Desde um crash de HD, tenho usado Wi-Fi público, Algo ou Tor. Acho que VPNs podem estar supervalorizados e não muitas pessoas consideram o verdadeiro custo de ter todo o tráfego na mesma túnel do VPN, que pode ser usado para roubar filmes.

Acabei de instalar o cliente mais recente do TorGuard (4.8.25) em um i5 de 8ª geração com 32GB de RAM. Conectado à VPN sem tráfego, essa coisa puxa meus núcleos de CPU como nunca vi por alguns minutos, depois diminui. Faz isso mesmo sem estar conectado a nada — só sentado lá.

EDIT: Quando o aplicativo fica só sentado lá, sem conexão, sem tráfego, ele agora usa 50% da minha CPU. Mas quando minimizo o app, cai para 0%. É um PROBLEMA DE RENDERIZAÇÃO.

https://imgur.com/a/SCbSEbw

Então, eu não tenho problema, mas qual versão você está usando? E que tipo de conexão você está usando pelo Torguard?

Resposta tardia, mas desconecte e altere o tema do Torguard para “clássico” no menu de configurações. Por alguma razão, isso funcionou para mim, depois de ler em outro fórum.

Acabei de tentar baixar o Torguard (dezembro de 2023) e o Windows bloqueou o download. “Vírus detectado.”

Você lembra por quê? Um moderador explicou em outro sub, mas aparentemente há uma lógica que eles usam.

obrigado, bom de saber.

por que não ambos? Não sei de nada com certeza. É um problema irritante no qual estou tentando avançar.

Seria bom se o próprio TG considerasse isso um comportamento preocupante, mas eles não. Seria bom se eles consertassem lá atrás, quando relatei. Mas não fizeram.

Sim, está rodando 90% do tempo, eu imagino.

Por que a negociação da chave exigiria uma quantidade perceptível de tempo de CPU? Talvez eu não esteja entendendo ao que você se refere.

Os navegadores/aplicativos de internet podem estar fechados e não haver tráfego de rede ocorrendo, e o TG ainda faz isso.

Não há nada no EULA sobre isso, pelo menos explicitamente. Sem garantia: isso cobre isso?

Usei o Process Monitor e ele identificou quais threads estavam usando. Aparentemente, ele tem um pool de threads, mas a thread mestre é a culpada. Pelo menos, quando olhei.

Wireshark é um bom próximo passo.