Android clicker регистрира потребителите за платени услуги

Doctor Web откри троянски кон в официалния каталог на приложения за Android, който може автоматично да абонира потребителите за платени услуги. Вирусни анализатори са идентифицирали няколко модификации на тази злонамерена програма, т.нар Android.Click.322.origin, Android.Click.323.origin и Android.Click.324.origin. За да скрият истинската си цел и също така да намалят вероятността от откриване на троянския кон, нападателите са използвали няколко техники.

Първо, те вградиха кликери в безобидни приложения – камери и колекции от изображения – които изпълняваха предназначените си функции. В резултат на това нямаше ясна причина потребителите и специалистите по информационна сигурност да ги разглеждат като заплаха.

на второ място, целият злонамерен софтуер беше защитен от комерсиалния пакет Jiagu, което усложнява откриването от антивируси и усложнява анализа на кода. По този начин троянският кон имаше по-голям шанс да избегне откриването от вградената защита на директорията на Google Play.

трето, авторите на вируси се опитаха да маскират троянския кон като добре познати рекламни и аналитични библиотеки. Веднъж добавен към носещите програми, той беше вграден в съществуващите SDK от Facebook и Adjust, като се криеше сред техните компоненти.

В допълнение, кликерът атакува потребителите избирателно: не извършва никакви злонамерени действия, ако потенциалната жертва не е жител на една от страните, представляващи интерес за нападателите.

По-долу са дадени примери за приложения с вграден троянски кон:

След инсталиране и стартиране на кликера (по-нататък неговата модификация ще бъде използвана като пример Android.Click.322.origin) се опитва да получи достъп до известията на операционната система, като показва следната заявка:

Ако потребителят се съгласи да му предостави необходимите разрешения, троянският кон ще може да скрие всички известия за входящи SMS и да прихваща текстове на съобщения.

След това кликерът предава технически данни за заразеното устройство на контролния сървър и проверява серийния номер на SIM картата на жертвата. Ако съвпада с една от целевите държави, Android.Click.322.origin изпраща на сървъра информация за свързания с него телефонен номер. В същото време кликерът показва на потребителите от определени държави прозорец за фишинг, където те искат да въведат номер или да влязат в своя акаунт в Google:

Ако SIM картата на жертвата не принадлежи на страната, представляваща интерес за нападателите, троянският кон не предприема никакви действия и спира злонамерената си дейност. Изследваните модификации на кликера атакуват жителите на следните страни:

• Австрия
• Италия
• Франция
• Тайланд
• Малайзия
• Германия
• Катар
• Польша
• Гърция
• Ирландия

След предаване на информацията за номера Android.Click.322.origin чака команди от сървъра за управление. Той изпраща задачи на троянския кон, които съдържат адресите на уебсайтове за изтегляне и кодиране в JavaScript формат. Този код се използва за управление на кликера чрез JavascriptInterface, показване на изскачащи съобщения на устройството, извършване на кликвания върху уеб страници и други действия.

След получаване на адреса на сайта, Android.Click.322.origin отваря го в невидим WebView, където също се зарежда предварително приетият JavaScript с параметри за кликвания. След като отвори уебсайт с премиум услуга, троянският кон автоматично кликва върху необходимите връзки и бутони. След това той получава кодове за потвърждение от SMS и независимо потвърждава абонамента.

Въпреки факта, че кликерът няма функция за работа с SMS и достъп до съобщения, той заобикаля това ограничение. Става така. Троянската услуга следи известията от приложението, което по подразбиране е назначено да работи с SMS. Когато пристигне съобщение, услугата скрива съответното системно известие. След това извлича информация за получените SMS от него и я предава на троянския излъчващ приемник. В резултат на това потребителят не вижда никакви известия за входящи SMS и не е наясно какво се случва. Той научава за абонирането за услугата едва когато парите започнат да изчезват от сметката му или когато отиде в менюто за съобщения и види SMS, свързан с премиум услугата.

След като специалистите на Doctor Web се ​​свързаха с Google, откритите злонамерени приложения бяха премахнати от Google Play. Всички известни модификации на този кликер се откриват и премахват успешно от антивирусните продукти на Dr.Web за Android и следователно не представляват заплаха за нашите потребители.

Научете повече за Android.Click.322.origin

Източник: www.habr.com