એન્ડ્રોઇડ ક્લિકર પેઇડ સેવાઓ માટે વપરાશકર્તાઓને સાઇન અપ કરે છે

ડોક્ટર વેબએ એન્ડ્રોઇડ એપ્લીકેશનના અધિકૃત કેટેલોગમાં એક ક્લિકર ટ્રોજન શોધ્યું છે જે વપરાશકર્તાઓને ચૂકવેલ સેવાઓ માટે આપમેળે સબ્સ્ક્રાઇબ કરવામાં સક્ષમ છે. વાયરસ વિશ્લેષકોએ આ દૂષિત પ્રોગ્રામના ઘણા ફેરફારો ઓળખ્યા છે, જેને કહેવાય છે Android.Click.322.origin, Android.Click.323.origin и Android.Click.324.origin. તેમના સાચા હેતુને છુપાવવા અને ટ્રોજનની શોધની શક્યતા ઘટાડવા માટે, હુમલાખોરોએ ઘણી તકનીકોનો ઉપયોગ કર્યો.

પ્રથમ, તેઓએ નિર્દોષ એપ્લિકેશનો-કેમેરા અને ઇમેજ કલેક્શનમાં ક્લિકર્સ બનાવ્યા-જે તેમના હેતુપૂર્ણ કાર્યો કરે છે. પરિણામે, વપરાશકર્તાઓ અને માહિતી સુરક્ષા વ્યાવસાયિકો માટે તેમને જોખમ તરીકે જોવાનું કોઈ સ્પષ્ટ કારણ નહોતું.

બીજું, તમામ માલવેર કોમર્શિયલ જિયાગુ પેકેજર દ્વારા સુરક્ષિત હતા, જે એન્ટિવાયરસ દ્વારા શોધને જટિલ બનાવે છે અને કોડ વિશ્લેષણને જટિલ બનાવે છે. આ રીતે, ટ્રોજન પાસે Google Play ડિરેક્ટરીના બિલ્ટ-ઇન પ્રોટેક્શન દ્વારા શોધ ટાળવાની વધુ સારી તક હતી.

ત્રીજી સ્થાને, વાયરસ લેખકોએ ટ્રોજનને જાણીતી જાહેરાત અને વિશ્લેષણાત્મક પુસ્તકાલયો તરીકે છુપાવવાનો પ્રયાસ કર્યો. એકવાર કેરિયર પ્રોગ્રામ્સમાં ઉમેરાયા પછી, તે ફેસબુક અને એડજસ્ટના હાલના SDK માં બનાવવામાં આવ્યું હતું, તેમના ઘટકો વચ્ચે છુપાયેલું હતું.

વધુમાં, ક્લિકરે વપરાશકર્તાઓ પર પસંદગીપૂર્વક હુમલો કર્યો: જો સંભવિત પીડિત હુમલાખોરોને રસ ધરાવતા દેશોમાંના એકનો રહેવાસી ન હોય તો તેણે કોઈ દૂષિત ક્રિયાઓ કરી નથી.

નીચે એપ્લીકેશનના ઉદાહરણો છે જેમાં ટ્રોજન એમ્બેડ કરેલ છે:

ક્લિકર ઇન્સ્ટોલ અને લોંચ કર્યા પછી (ત્યારબાદ, તેના ફેરફારનો ઉપયોગ ઉદાહરણ તરીકે કરવામાં આવશે Android.Click.322.origin) નીચેની વિનંતી બતાવીને ઑપરેટિંગ સિસ્ટમ સૂચનાઓને ઍક્સેસ કરવાનો પ્રયાસ કરે છે:

જો વપરાશકર્તા તેને જરૂરી પરવાનગીઓ આપવા માટે સંમત થાય, તો ટ્રોજન ઇનકમિંગ એસએમએસ વિશેની તમામ સૂચનાઓ છુપાવી શકશે અને સંદેશ ટેક્સ્ટને અટકાવી શકશે.

આગળ, ક્લિકર ચેપગ્રસ્ત ઉપકરણ વિશેની તકનીકી માહિતીને નિયંત્રણ સર્વર પર પ્રસારિત કરે છે અને પીડિતના સિમ કાર્ડનો સીરીયલ નંબર તપાસે છે. જો તે લક્ષ્ય દેશોમાંથી એક સાથે મેળ ખાય છે, Android.Click.322.origin તેની સાથે સંકળાયેલ ફોન નંબર વિશે સર્વરને માહિતી મોકલે છે. તે જ સમયે, ક્લિકર અમુક દેશોના વપરાશકર્તાઓને ફિશિંગ વિન્ડો બતાવે છે જ્યાં તેઓ તેમને નંબર દાખલ કરવા અથવા તેમના Google એકાઉન્ટમાં લૉગ ઇન કરવા માટે કહે છે:

જો પીડિતનું સિમ કાર્ડ હુમલાખોરોને રુચિ ધરાવતા દેશનું નથી, તો ટ્રોજન કોઈ પગલાં લેતું નથી અને તેની દૂષિત પ્રવૃત્તિને અટકાવે છે. નીચેના દેશોના રહેવાસીઓ પર ક્લિકર હુમલાના સંશોધન કરેલા ફેરફારો:

• ઓસ્ટ્રિયા
• ઇટાલી
• ફ્રાન્સ
• થાઇલેન્ડ
• મલેશિયા
• જર્મની
• કતાર
• પોલેન્ડ
• ગ્રીસ
• આયર્લેન્ડ

નંબરની માહિતી ટ્રાન્સમિટ કર્યા પછી Android.Click.322.origin મેનેજમેન્ટ સર્વર તરફથી આદેશોની રાહ જુએ છે. તે ટ્રોજનને કાર્યો મોકલે છે, જેમાં જાવાસ્ક્રિપ્ટ ફોર્મેટમાં ડાઉનલોડ કરવા માટેની વેબસાઇટના સરનામા અને કોડ હોય છે. આ કોડનો ઉપયોગ JavascriptInterface દ્વારા ક્લિકરને નિયંત્રિત કરવા, ઉપકરણ પર પૉપ-અપ સંદેશા પ્રદર્શિત કરવા, વેબ પૃષ્ઠો પર ક્લિક કરવા અને અન્ય ક્રિયાઓ કરવા માટે થાય છે.

સાઇટ સરનામું પ્રાપ્ત કર્યા પછી, Android.Click.322.origin તેને અદ્રશ્ય વેબવ્યુમાં ખોલે છે, જ્યાં ક્લિક્સ માટેના પરિમાણો સાથે અગાઉ સ્વીકૃત JavaScript પણ લોડ થાય છે. પ્રીમિયમ સેવા સાથે વેબસાઇટ ખોલ્યા પછી, ટ્રોજન આપમેળે જરૂરી લિંક્સ અને બટનો પર ક્લિક કરે છે. આગળ, તે એસએમએસથી ચકાસણી કોડ મેળવે છે અને સ્વતંત્ર રીતે સબ્સ્ક્રિપ્શનની પુષ્ટિ કરે છે.

એ હકીકત હોવા છતાં કે ક્લિકર પાસે SMS સાથે કામ કરવાનું અને સંદેશાઓને ઍક્સેસ કરવાનું કાર્ય નથી, તે આ મર્યાદાને બાયપાસ કરે છે. તે આ રીતે જાય છે. ટ્રોજન સેવા એપ્લિકેશનમાંથી સૂચનાઓનું નિરીક્ષણ કરે છે, જે મૂળભૂત રીતે SMS સાથે કામ કરવા માટે અસાઇન કરવામાં આવે છે. જ્યારે કોઈ સંદેશ આવે છે, ત્યારે સેવા અનુરૂપ સિસ્ટમ સૂચનાને છુપાવે છે. તે પછી તેમાંથી પ્રાપ્ત એસએમએસ વિશેની માહિતી કાઢે છે અને તેને ટ્રોજન બ્રોડકાસ્ટ રીસીવરમાં ટ્રાન્સમિટ કરે છે. પરિણામે, વપરાશકર્તાને આવનારા SMS વિશે કોઈ સૂચનાઓ દેખાતી નથી અને શું થઈ રહ્યું છે તેની જાણ નથી. તે સેવામાં સબ્સ્ક્રાઇબ કરવા વિશે ત્યારે જ શીખે છે જ્યારે તેના ખાતામાંથી પૈસા અદૃશ્ય થવા લાગે છે, અથવા જ્યારે તે સંદેશા મેનૂ પર જાય છે અને પ્રીમિયમ સેવા સંબંધિત SMS જુએ છે.

ડોક્ટર વેબ નિષ્ણાતોએ Google નો સંપર્ક કર્યા પછી, શોધાયેલ દૂષિત એપ્લિકેશન્સને Google Play પરથી દૂર કરવામાં આવી હતી. આ ક્લિકરના તમામ જાણીતા ફેરફારો Android માટે Dr.Web એન્ટી-વાયરસ ઉત્પાદનો દ્વારા સફળતાપૂર્વક શોધી અને દૂર કરવામાં આવ્યા છે અને તેથી તે અમારા વપરાશકર્તાઓ માટે ખતરો નથી.

Android.Click.322.origin વિશે વધુ જાણો

સોર્સ: www.habr.com