एंड्रॉइड क्लिकर उपयोगकर्ताओं को सशुल्क सेवाओं के लिए साइन अप करता है

डॉक्टर वेब ने एंड्रॉइड एप्लिकेशन की आधिकारिक सूची में एक क्लिकर ट्रोजन की खोज की है जो स्वचालित रूप से उपयोगकर्ताओं को भुगतान सेवाओं की सदस्यता लेने में सक्षम है। वायरस विश्लेषकों ने इस दुर्भावनापूर्ण प्रोग्राम के कई संशोधनों की पहचान की है, जिन्हें कहा जाता है Android.Click.322.origin, Android.Click.323.origin и Android.Click.324.origin. अपने वास्तविक उद्देश्य को छिपाने और ट्रोजन का पता लगाने की संभावना को कम करने के लिए, हमलावरों ने कई तकनीकों का इस्तेमाल किया।

प्रथमतः, उन्होंने क्लिकर्स को सहज अनुप्रयोगों-कैमरों और छवि संग्रहों में बनाया-जो अपने इच्छित कार्य करते थे। परिणामस्वरूप, उपयोगकर्ताओं और सूचना सुरक्षा पेशेवरों के पास उन्हें खतरे के रूप में देखने का कोई स्पष्ट कारण नहीं था।

दूसरे, सभी मैलवेयर वाणिज्यिक जियागु पैकेजर द्वारा संरक्षित थे, जो एंटीवायरस द्वारा पता लगाना और कोड विश्लेषण को जटिल बनाता है। इस तरह, ट्रोजन के पास Google Play निर्देशिका की अंतर्निहित सुरक्षा द्वारा पता लगाने से बचने का बेहतर मौका था।

तीसरे, वायरस लेखकों ने ट्रोजन को प्रसिद्ध विज्ञापन और विश्लेषणात्मक पुस्तकालयों के रूप में छिपाने की कोशिश की। एक बार वाहक कार्यक्रमों में जोड़े जाने के बाद, इसे फेसबुक और एडजस्ट से मौजूदा एसडीके में बनाया गया था, जो उनके घटकों के बीच छिपा हुआ था।

इसके अलावा, क्लिकर ने उपयोगकर्ताओं पर चुनिंदा तरीके से हमला किया: यदि संभावित पीड़ित हमलावरों के हित वाले देशों में से किसी एक का निवासी नहीं था, तो उसने कोई दुर्भावनापूर्ण कार्रवाई नहीं की।

नीचे उन अनुप्रयोगों के उदाहरण दिए गए हैं जिनमें ट्रोजन एम्बेडेड है:

क्लिकर को स्थापित करने और लॉन्च करने के बाद (इसके बाद, इसका संशोधन एक उदाहरण के रूप में उपयोग किया जाएगा Android.Click.322.origin) निम्नलिखित अनुरोध दिखाकर ऑपरेटिंग सिस्टम सूचनाओं तक पहुँचने का प्रयास करता है:

यदि उपयोगकर्ता उसे आवश्यक अनुमतियाँ देने के लिए सहमत होता है, तो ट्रोजन आने वाले एसएमएस के बारे में सभी सूचनाओं को छिपाने और संदेश ग्रंथों को रोकने में सक्षम होगा।

इसके बाद, क्लिकर संक्रमित डिवाइस के बारे में तकनीकी डेटा को नियंत्रण सर्वर तक पहुंचाता है और पीड़ित के सिम कार्ड के सीरियल नंबर की जांच करता है। यदि यह लक्षित देशों में से किसी एक से मेल खाता है, Android.Click.322.origin सर्वर को उससे जुड़े फ़ोन नंबर के बारे में जानकारी भेजता है। उसी समय, क्लिकर कुछ देशों के उपयोगकर्ताओं को एक फ़िशिंग विंडो दिखाता है जहाँ वे उनसे एक नंबर दर्ज करने या अपने Google खाते में लॉग इन करने के लिए कहते हैं:

यदि पीड़ित का सिम कार्ड हमलावरों के हित वाले देश का नहीं है, तो ट्रोजन कोई कार्रवाई नहीं करता है और अपनी दुर्भावनापूर्ण गतिविधि को रोक देता है। क्लिकर हमले के शोधित संशोधन निम्नलिखित देशों के निवासियों पर हमला करते हैं:

• ऑस्ट्रिया
• इटली
• फ्रांस
• थाईलैंड
• मलेशिया
• जर्मनी
• Катар
• Польша
• ग्रीस
• आयरलैंड

नंबर की जानकारी प्रसारित करने के बाद Android.Click.322.origin प्रबंधन सर्वर से आदेशों की प्रतीक्षा करता है। यह ट्रोजन को कार्य भेजता है, जिसमें डाउनलोड करने के लिए वेबसाइटों के पते और जावास्क्रिप्ट प्रारूप में कोड होते हैं। इस कोड का उपयोग जावास्क्रिप्टइंटरफेस के माध्यम से क्लिकर को नियंत्रित करने, डिवाइस पर पॉप-अप संदेश प्रदर्शित करने, वेब पेजों पर क्लिक करने और अन्य कार्यों के लिए किया जाता है।

साइट का पता प्राप्त करने के बाद, Android.Click.322.origin इसे एक अदृश्य वेबव्यू में खोलता है, जहां क्लिक के लिए पैरामीटर के साथ पहले से स्वीकृत जावास्क्रिप्ट भी लोड किया गया है। प्रीमियम सेवा वाली वेबसाइट खोलने के बाद, ट्रोजन स्वचालित रूप से आवश्यक लिंक और बटन पर क्लिक करता है। इसके बाद, वह एसएमएस से सत्यापन कोड प्राप्त करता है और स्वतंत्र रूप से सदस्यता की पुष्टि करता है।

इस तथ्य के बावजूद कि क्लिकर के पास एसएमएस के साथ काम करने और संदेशों तक पहुंचने का कार्य नहीं है, यह इस सीमा को दरकिनार कर देता है। यह इस प्रकार चलता है। ट्रोजन सेवा एप्लिकेशन से सूचनाओं की निगरानी करती है, जिसे डिफ़ॉल्ट रूप से एसएमएस के साथ काम करने के लिए सौंपा गया है। जब कोई संदेश आता है, तो सेवा संबंधित सिस्टम अधिसूचना को छुपा देती है। इसके बाद यह प्राप्त एसएमएस के बारे में जानकारी निकालता है और इसे ट्रोजन प्रसारण रिसीवर तक पहुंचाता है। परिणामस्वरूप, उपयोगकर्ता को आने वाले एसएमएस के बारे में कोई सूचना नहीं दिखती है और उसे पता नहीं चलता कि क्या हो रहा है। उसे सेवा की सदस्यता लेने के बारे में तभी पता चलता है जब उसके खाते से पैसे गायब होने लगते हैं, या जब वह संदेश मेनू पर जाता है और प्रीमियम सेवा से संबंधित एसएमएस देखता है।

डॉक्टर वेब विशेषज्ञों द्वारा Google से संपर्क करने के बाद, पता लगाए गए दुर्भावनापूर्ण एप्लिकेशन को Google Play से हटा दिया गया। इस क्लिकर के सभी ज्ञात संशोधनों को एंड्रॉइड के लिए Dr.Web एंटी-वायरस उत्पादों द्वारा सफलतापूर्वक पता लगाया और हटा दिया गया है और इसलिए यह हमारे उपयोगकर्ताओं के लिए कोई खतरा पैदा नहीं करता है।

Android.Click.322.origin के बारे में और जानें

स्रोत: www.habr.com