অ্যান্ড্রয়েড ক্লিকার পেইড পরিষেবার জন্য ব্যবহারকারীদের সাইন আপ করে

ডক্টর ওয়েব অ্যান্ড্রয়েড অ্যাপ্লিকেশনগুলির অফিসিয়াল ক্যাটালগে একটি ক্লিকার ট্রোজান আবিষ্কার করেছে যা ব্যবহারকারীদের অর্থপ্রদানের পরিষেবাগুলিতে স্বয়ংক্রিয়ভাবে সদস্যতা নিতে সক্ষম৷ ভাইরাস বিশ্লেষকরা এই দূষিত প্রোগ্রামের বেশ কয়েকটি পরিবর্তন চিহ্নিত করেছেন, যাকে বলা হয় Android.Click.322.origin, Android.Click.323.origin и Android.Click.324.origin. তাদের আসল উদ্দেশ্য লুকাতে এবং ট্রোজান সনাক্তকরণের সম্ভাবনা কমাতে, আক্রমণকারীরা বিভিন্ন কৌশল ব্যবহার করেছিল।

প্রথমত, তারা নিরীহ অ্যাপ্লিকেশন-ক্যামেরা এবং ইমেজ সংগ্রহে ক্লিকার তৈরি করেছে-যা তাদের উদ্দেশ্যমূলক কার্য সম্পাদন করে। ফলস্বরূপ, ব্যবহারকারীদের এবং তথ্য সুরক্ষা পেশাদারদের কাছে তাদের হুমকি হিসাবে দেখার কোনও স্পষ্ট কারণ ছিল না।

দ্বিতীয়ত, সমস্ত ম্যালওয়্যার বাণিজ্যিক জিয়াগু প্যাকেজার দ্বারা সুরক্ষিত ছিল, যা অ্যান্টিভাইরাস দ্বারা সনাক্তকরণকে জটিল করে এবং কোড বিশ্লেষণকে জটিল করে তোলে। এইভাবে, ট্রোজানের Google Play ডিরেক্টরির অন্তর্নির্মিত সুরক্ষা দ্বারা সনাক্তকরণ এড়ানোর একটি ভাল সুযোগ ছিল।

তৃতীয়, ভাইরাস লেখকরা ট্রোজানকে সুপরিচিত বিজ্ঞাপন এবং বিশ্লেষণাত্মক গ্রন্থাগার হিসাবে ছদ্মবেশ দেওয়ার চেষ্টা করেছিলেন। একবার ক্যারিয়ার প্রোগ্রামে যোগ করা হলে, এটি Facebook এবং অ্যাডজাস্ট থেকে বিদ্যমান SDK-তে তৈরি করা হয়, তাদের উপাদানগুলির মধ্যে লুকিয়ে থাকে।

উপরন্তু, ক্লিকার ব্যবহারকারীদের বেছে বেছে আক্রমণ করেছিল: সম্ভাব্য শিকার যদি আক্রমণকারীদের আগ্রহের দেশের একটির বাসিন্দা না হয় তবে এটি কোনও দূষিত ক্রিয়া সম্পাদন করে না।

নীচে একটি ট্রোজান এম্বেড করা অ্যাপ্লিকেশনগুলির উদাহরণ রয়েছে:

ক্লিকার ইনস্টল এবং চালু করার পরে (এর পরে, এটির পরিবর্তন একটি উদাহরণ হিসাবে ব্যবহার করা হবে Android.Click.322.origin) নিম্নলিখিত অনুরোধ দেখিয়ে অপারেটিং সিস্টেম বিজ্ঞপ্তিগুলি অ্যাক্সেস করার চেষ্টা করে:

ব্যবহারকারী যদি তাকে প্রয়োজনীয় অনুমতি দিতে সম্মত হন, তাহলে ট্রোজান ইনকামিং এসএমএস সম্পর্কে সমস্ত বিজ্ঞপ্তি লুকিয়ে রাখতে সক্ষম হবে এবং বার্তা পাঠ্যকে আটকাতে পারবে।

এরপরে, ক্লিকার সংক্রামিত ডিভাইস সম্পর্কে প্রযুক্তিগত ডেটা নিয়ন্ত্রণ সার্ভারে প্রেরণ করে এবং শিকারের সিম কার্ডের সিরিয়াল নম্বর পরীক্ষা করে। যদি এটি লক্ষ্যযুক্ত দেশের একটির সাথে মেলে, Android.Click.322.origin এটির সাথে যুক্ত ফোন নম্বর সম্পর্কে সার্ভারের তথ্য পাঠায়। একই সময়ে, ক্লিকার নির্দিষ্ট দেশের ব্যবহারকারীদের একটি ফিশিং উইন্ডো দেখায় যেখানে তারা তাদের একটি নম্বর লিখতে বা তাদের Google অ্যাকাউন্টে লগ ইন করতে বলে:

যদি শিকারের সিম কার্ড আক্রমণকারীদের আগ্রহের দেশের অন্তর্গত না হয়, তাহলে ট্রোজান কোনো ব্যবস্থা নেয় না এবং তার দূষিত কার্যকলাপ বন্ধ করে দেয়। নিম্নলিখিত দেশগুলির বাসিন্দাদের উপর ক্লিকার আক্রমণের গবেষণা করা পরিবর্তনগুলি:

• অস্ট্রিয়া
• ইতালি
• ফ্রান্স
• Таиланд
• Малайзия
• জার্মানি
• কাতার
• পোল্যান্ড
• গ্রীস
• আয়ারল্যাণ্ড

নম্বর তথ্য প্রেরণ করার পর Android.Click.322.origin ম্যানেজমেন্ট সার্ভার থেকে কমান্ডের জন্য অপেক্ষা করে। এটি ট্রোজানের কাছে টাস্ক পাঠায়, যাতে ডাউনলোড করার জন্য ওয়েবসাইটগুলির ঠিকানা থাকে এবং জাভাস্ক্রিপ্ট ফর্ম্যাটে কোড থাকে। এই কোডটি JavascriptInterface-এর মাধ্যমে ক্লিকারকে নিয়ন্ত্রণ করতে, ডিভাইসে পপ-আপ বার্তা প্রদর্শন করতে, ওয়েব পৃষ্ঠাগুলিতে ক্লিক করতে এবং অন্যান্য ক্রিয়াকলাপ করতে ব্যবহৃত হয়।

সাইটের ঠিকানা পেয়ে, Android.Click.322.origin এটিকে একটি অদৃশ্য ওয়েবভিউতে খোলে, যেখানে ক্লিকের জন্য পরামিতি সহ পূর্বে গৃহীত জাভাস্ক্রিপ্টও লোড করা হয়। একটি প্রিমিয়াম পরিষেবা সহ একটি ওয়েবসাইট খোলার পরে, ট্রোজান স্বয়ংক্রিয়ভাবে প্রয়োজনীয় লিঙ্ক এবং বোতামগুলিতে ক্লিক করে৷ এরপরে, তিনি এসএমএস থেকে যাচাইকরণ কোড পান এবং স্বাধীনভাবে সাবস্ক্রিপশন নিশ্চিত করেন।

ক্লিকারের এসএমএস-এর সাথে কাজ করার এবং বার্তাগুলি অ্যাক্সেস করার ফাংশন নেই তা সত্ত্বেও, এটি এই সীমাবদ্ধতাকে বাইপাস করে। এটা এইভাবেই চলে. ট্রোজান পরিষেবা অ্যাপ্লিকেশন থেকে বিজ্ঞপ্তিগুলি নিরীক্ষণ করে, যা ডিফল্টরূপে এসএমএসের সাথে কাজ করার জন্য নির্ধারিত হয়। যখন একটি বার্তা আসে, পরিষেবাটি সংশ্লিষ্ট সিস্টেম বিজ্ঞপ্তি লুকিয়ে রাখে। তারপর এটি থেকে প্রাপ্ত এসএমএস সম্পর্কে তথ্য বের করে এবং ট্রোজান ব্রডকাস্ট রিসিভারে প্রেরণ করে। ফলস্বরূপ, ব্যবহারকারী ইনকামিং এসএমএস সম্পর্কে কোনও বিজ্ঞপ্তি দেখতে পান না এবং কী ঘটছে সে সম্পর্কে সচেতন হন না। তিনি পরিষেবাটিতে সাবস্ক্রাইব করার বিষয়ে তখনই জানতে পারেন যখন তার অ্যাকাউন্ট থেকে অর্থ অদৃশ্য হয়ে যায়, অথবা যখন তিনি বার্তা মেনুতে যান এবং প্রিমিয়াম পরিষেবা সম্পর্কিত SMS দেখেন।

ডক্টর ওয়েব বিশেষজ্ঞরা Google এর সাথে যোগাযোগ করার পরে, সনাক্ত করা ক্ষতিকারক অ্যাপ্লিকেশনগুলিকে Google Play থেকে সরিয়ে দেওয়া হয়েছিল। এই ক্লিকারের সমস্ত পরিচিত পরিবর্তনগুলি অ্যান্ড্রয়েডের জন্য Dr.Web অ্যান্টি-ভাইরাস পণ্য দ্বারা সফলভাবে সনাক্ত করা হয়েছে এবং মুছে ফেলা হয়েছে এবং তাই আমাদের ব্যবহারকারীদের জন্য কোনও হুমকি তৈরি করে না৷

Android.Click.322.origin সম্পর্কে আরও জানুন

উত্স: www.habr.com