Над 60 000 приложения за Android тайно са инсталирали адуер през последните 6 месеца

Над 60 000 приложения за Android, маскирани като легитимни приложения, са инсталирали адуер (рекламен софтуер) на мобилни устройства, без да бъдат засечени през последните 6 месеца.

Откритието идва от румънската компания за киберсигурност Bitdefender, която е открила злонамерените приложения с помощта на функция за откриване на аномалии, добавена към софтуера Bitdefender Mobile Security миналия месец.

„До момента Bitdefender е открил 60 000 напълно различни образци (уникални приложения), съдържащи рекламен софтуер, и подозираме, че в действителност те са много повече.“

предупреждават от Bitdefender

Смята се, че кампанията е започнала през октомври 2022 година и се разпространява като фалшив софтуер за сигурност, кракове на игри, чийтове, VPN софтуер, Netflix и приложения за услуги в сайтове на трети страни.

Кампанията за разпространение на зловреден софтуер е насочена предимно към потребители в Съединените щати, следвани от Южна Корея, Бразилия, Германия, Обединеното кралство и Франция.

Зловредните приложения не са хоствани в Google Play, а на уебсайтове на трети страни, които разпространяват APK – инсталационни файлове, които позволяват ръчно инсталиране на мобилни приложения.

Когато посещавате сайтовете, ще бъдете пренасочени към уебсайтове, показващи реклами, или ще бъдете подканени да изтеглите търсеното приложение. Сайтовете за изтегляне са нарочно създадени, за да разпространяват зловредните приложения за Android като APK, които при инсталиране заразяват устройствата с рекламен софтуер.

Когато приложението се инсталира, то не се конфигурира да се стартира автоматично, тъй като това изисква допълнителни привилегии. Вместо това то разчита на нормалния процес на инсталиране на приложения за Android, който подканва потребителите да „отворят“ приложението, след като то бъде инсталирано.

Освен това приложенията не използват икона и имат UTF-8 символ в етикета си, което ги прави по-трудно забележими. Това е нож с две остриета, тъй като означава също, че ако потребителят не стартира приложението след инсталирането му, то вероятно няма да бъде стартирано след това.

Ако бъде стартирано, приложението ще покаже съобщение за грешка, в което се посочва, че „Приложението не е налично във вашия регион. Докоснете OK, за да деинсталирате.“ или нещо от този род.

В действителност обаче приложението не е деинсталирано, а просто „спи“ в продължение на няколко часа, преди да се конфигурира да се стартира при стартиране на устройството или при отключване на устройството. От Bitdefender твърдят, че последното е деактивирано за първите 2 дни, вероятно за да се избегне откриването на приложението от потребителя.

При стартиране приложението се свързва със сървърите на хакерите и извлича URL адреси на реклами, които се показват в мобилния браузър или като реклама на цял екран в WebView.

Макар че в момента зловредните приложения се използват само за показване на реклами, изследователите предупреждават, че участниците в атаката могат лесно да сменят URL адресите на рекламния софтуер към по-зловредни уебсайтове.

„След анализ кампанията е предназначена за агресивно прокарване на рекламен софтуер на устройства с Android с цел приходи. Въпреки това участващите в кампаниите лица могат лесно да сменят тактиката, за да пренасочат потребителите към други видове зловреден софтуер, като например троянски коне за кражба на идентификационни данни и финансова информация или рансъмуер.“

предупреждават от Bitdefender

Въпреки че Google Play все още има своя дял от злонамерени приложения, инсталирането на приложения за Android от официалния магазин за Android е далеч по-безопасно. Също така е силно препоръчително да не инсталирате никакви приложения за Android от сайтове на трети страни, тъй като те са често срещан път към зловреден софтуер.