Android clicker רושם משתמשים לשירותים בתשלום

דוקטור ווב גילה בקטלוג הרשמי של אפליקציות אנדרואיד סוס טרויאני מסוג קליקר שמסוגל לרשום משתמשים אוטומטית לשירותים בתשלום. מנתחי וירוסים זיהו מספר שינויים בתוכנית הזדונית הזו, הנקראת Android.Click.322.origin, Android.Click.323.origin и Android.Click.324.origin. כדי להסתיר את מטרתם האמיתית וגם להפחית את הסבירות לזיהוי של הטרויאני, התוקפים השתמשו במספר טכניקות.

קודם כל, הם בנו קליקים לתוך יישומים תמימים - מצלמות ואוספי תמונות - שביצעו את הפונקציות המיועדות להם. כתוצאה מכך, לא הייתה סיבה ברורה למשתמשים ולאנשי אבטחת מידע לראות בהם איום.

שנית, כל התוכנה הזדונית הייתה מוגנת על ידי החבילה המסחרית של Jiagu, אשר מסבכת זיהוי על ידי אנטי וירוסים ומסבכת ניתוח קוד. בדרך זו, לטרויאני היה סיכוי טוב יותר להימנע מזיהוי על ידי ההגנה המובנית של ספריית Google Play.

שלישית, כותבי וירוסים ניסו להסוות את הטרויאני כספריות פרסום ואנליטיות ידועות. לאחר שנוספה לתוכניות הספק, היא נבנתה ב-SDKs הקיימים מ-Facebook ו-Adjust, והסתתרה בין הרכיבים שלהן.

בנוסף, הקליקר תקף משתמשים באופן סלקטיבי: הוא לא ביצע שום פעולות זדוניות אם הקורבן הפוטנציאלי לא היה תושב אחת המדינות המעניין את התוקפים.

להלן דוגמאות ליישומים עם סוס טרויאני מוטבע בהם:

לאחר התקנה והשקה של הקלקר (להלן, השינוי שלו ישמש כדוגמה Android.Click.322.origin) מנסה לגשת להודעות מערכת ההפעלה על ידי הצגת הבקשה הבאה:

אם המשתמש יסכים להעניק לו את ההרשאות הדרושות, הטרויאני יוכל להסתיר את כל ההתראות על הודעות SMS נכנסות ויירט טקסטים של הודעות.

לאחר מכן, הקלקר מעביר נתונים טכניים על המכשיר הנגוע לשרת הבקרה ובודק את המספר הסידורי של כרטיס ה-SIM של הקורבן. אם זה תואם לאחת ממדינות היעד, Android.Click.322.origin שולח לשרת מידע על מספר הטלפון המשויך אליו. במקביל, הקליק מציג למשתמשים ממדינות מסוימות חלון דיוג שבו הם מבקשים מהם להזין מספר או להיכנס לחשבון Google שלהם:

אם כרטיס ה-SIM של הקורבן אינו שייך למדינה המעניינת את התוקפים, הטרויאני לא נוקט בפעולה ומפסיק את פעילותו הזדונית. השינויים הנחקרים של מתקפת הקליקרים תושבי המדינות הבאות:

• אוסטריה
• איטליה
• צרפת
• תאילנד
• מלזיה
• גרמניה
• קטאר
• פולין
• יון
• אירלנד

לאחר העברת מידע המספר Android.Click.322.origin ממתין לפקודות משרת הניהול. הוא שולח משימות לסוס הטרויאני, המכילות את הכתובות של אתרים להורדה וקוד בפורמט JavaScript. קוד זה משמש לשליטה בלחיצה דרך JavascriptInterface, הצגת הודעות קופצות במכשיר, ביצוע לחיצות על דפי אינטרנט ופעולות נוספות.

לאחר קבלת כתובת האתר, Android.Click.322.origin פותח אותו ב-WebView בלתי נראה, שבו נטען גם JavaScript המקובל בעבר עם פרמטרים לקליקים. לאחר פתיחת אתר עם שירות פרימיום, הטרויאני לוחץ אוטומטית על הקישורים והכפתורים הדרושים. לאחר מכן, הוא מקבל קודי אימות מסמס ומאשר באופן עצמאי את המנוי.

למרות העובדה שלקליקר אין את הפונקציה של עבודה עם SMS וגישה להודעות, הוא עוקף מגבלה זו. זה הולך ככה. השירות הטרויאני עוקב אחר הודעות מהאפליקציה, אשר כברירת מחדל מוקצית לעבודה עם SMS. כאשר מגיעה הודעה, השירות מסתיר את הודעת המערכת המתאימה. לאחר מכן הוא מחלץ ממנו מידע על ה-SMS שהתקבל ומשדר אותו למקלט השידור הטרויאני. כתוצאה מכך, המשתמש אינו רואה הודעות על SMS נכנס ואינו מודע למתרחש. הוא לומד על הרשמה לשירות רק כאשר הכסף מתחיל להיעלם מחשבונו, או כאשר הוא עובר לתפריט ההודעות ורואה SMS הקשור לשירות הפרימיום.

לאחר שמומחי דוקטור אינטרנט יצרו קשר עם Google, האפליקציות הזדוניות שזוהו הוסרו מ-Google Play. כל השינויים הידועים של קליקר זה מזוהים ומוסרים בהצלחה על ידי מוצרי אנטי וירוס Dr.Web עבור אנדרואיד ולכן אינם מהווים איום על המשתמשים שלנו.

למידע נוסף על Android.Click.322.origin

מקור: www.habr.com