Android clicker აწერს მომხმარებლებს ფასიან სერვისებზე

Doctor Web-მა Android-ის აპლიკაციების ოფიციალურ კატალოგში აღმოაჩინა კლიკერი ტროას, რომელსაც შეუძლია მომხმარებლების ფასიანი სერვისების ავტომატურად გამოწერა. ვირუსის ანალიტიკოსებმა გამოავლინეს ამ მავნე პროგრამის რამდენიმე მოდიფიკაცია, ე.წ Android.Click.322.origin, Android.Click.323.origin и Android.Click.324.origin. მათი ნამდვილი მიზნის დასამალად და ასევე ტროას აღმოჩენის ალბათობის შესამცირებლად, თავდამსხმელებმა გამოიყენეს რამდენიმე ტექნიკა.

პირველ რიგში, მათ შექმნეს კლიკერები უვნებელ აპლიკაციებში — კამერებსა და სურათების კოლექციებში — რომლებიც ასრულებდნენ დანიშნულ ფუნქციებს. შედეგად, არ არსებობდა მკაფიო მიზეზი, რომ მომხმარებლებმა და ინფორმაციული უსაფრთხოების სპეციალისტებმა ისინი საფრთხედ განიხილონ.

მეორე, ყველა მავნე პროგრამა დაცული იყო კომერციული Jiagu პაკეტერის მიერ, რაც ართულებს ანტივირუსების გამოვლენას და ართულებს კოდის ანალიზს. ამ გზით, ტროას ჰქონდა უკეთესი შანსი, თავიდან აეცილებინა გამოვლენა Google Play დირექტორიაში ჩაშენებული დაცვის საშუალებით.

მესამევირუსის მწერლები ცდილობდნენ ტროას შენიღბვას, როგორც ცნობილ სარეკლამო და ანალიტიკურ ბიბლიოთეკებს. მას შემდეგ რაც დაემატა ოპერატორის პროგრამებს, ის ჩაშენებული იქნა არსებულ SDK-ებში Facebook-დან და Adjust-დან და იმალებოდა მათ კომპონენტებს შორის.

გარდა ამისა, კლიკერი შერჩევით თავს დაესხა მომხმარებლებს: ის არ ახორციელებდა რაიმე მავნე მოქმედებას, თუ პოტენციური მსხვერპლი არ იყო თავდამსხმელებისთვის საინტერესო ერთ-ერთი ქვეყნის რეზიდენტი.

ქვემოთ მოცემულია აპლიკაციების მაგალითები მათში ჩაშენებული ტროას:

დაწკაპუნების ინსტალაციისა და გაშვების შემდეგ (შემდგომში მისი მოდიფიკაცია გამოყენებული იქნება როგორც მაგალითი Android.Click.322.origin) ცდილობს წვდომას ოპერაციული სისტემის შეტყობინებებზე შემდეგი მოთხოვნის ჩვენებით:

თუ მომხმარებელი დათანხმდება მისთვის საჭირო ნებართვების მინიჭებას, ტროას საშუალება ექნება დამალოს ყველა შეტყობინებები შემომავალი SMS-ის შესახებ და შეტყობინებების ტექსტების ჩაჭრა.

შემდეგი, კლიკერი გადასცემს ტექნიკურ მონაცემებს ინფიცირებული მოწყობილობის შესახებ საკონტროლო სერვერზე და ამოწმებს მსხვერპლის SIM ბარათის სერიულ ნომერს. თუ ის ემთხვევა ერთ-ერთ სამიზნე ქვეყანას, Android.Click.322.origin უგზავნის სერვერს ინფორმაციას მასთან დაკავშირებული ტელეფონის ნომრის შესახებ. ამავდროულად, დაწკაპუნება აჩვენებს მომხმარებლებს გარკვეული ქვეყნებიდან ფიშინგის ფანჯარაში, სადაც ისინი სთხოვენ შეიყვანონ ნომერი ან შევიდნენ თავიანთ Google ანგარიშში:

თუ მსხვერპლის SIM ბარათი არ ეკუთვნის თავდამსხმელების ინტერესის ქვეყანას, ტროას არ იღებს რაიმე ქმედებას და წყვეტს მის მავნე მოქმედებას. შემდეგი ქვეყნების მაცხოვრებლების კლიკერის შეტევის გამოკვლეული ცვლილებები:

• Австрия
• იტალიაში
• საფრანგეთის
• Thailand
• Малайзия
• გერმანიაში
• Катар
• Польша
• საბერძნეთში
• ირლანდიის

ნომრის ინფორმაციის გადაცემის შემდეგ Android.Click.322.origin ელოდება ბრძანებებს მართვის სერვერიდან. ის აგზავნის ამოცანებს ტროიანში, რომლებიც შეიცავს ვებსაიტების მისამართებს ჩამოსატვირთად და კოდირებით JavaScript ფორმატში. ეს კოდი გამოიყენება JavascriptInterface-ის მეშვეობით დაწკაპუნების გასაკონტროლებლად, მოწყობილობაზე pop-up შეტყობინებების ჩვენებისთვის, ვებ გვერდებზე დაწკაპუნების შესასრულებლად და სხვა მოქმედებებისთვის.

საიტის მისამართის მიღების შემდეგ, Android.Click.322.origin ხსნის მას უხილავ WebView-ში, სადაც ასევე იტვირთება ადრე მიღებული JavaScript დაწკაპუნების პარამეტრებით. პრემიუმ სერვისით ვებსაიტის გახსნის შემდეგ, ტროას ავტომატურად დააჭერს საჭირო ბმულებსა და ღილაკებს. შემდეგი, ის იღებს დამადასტურებელ კოდებს SMS-დან და დამოუკიდებლად ადასტურებს გამოწერას.

იმისდა მიუხედავად, რომ კლიკერს არ აქვს SMS-თან მუშაობის და შეტყობინებების წვდომის ფუნქცია, ის გვერდს უვლის ამ შეზღუდვას. ეს ასე მიდის. ტროას სერვისი აკონტროლებს შეტყობინებებს აპლიკაციიდან, რომელსაც ნაგულისხმევად ენიჭება SMS-ით მუშაობა. როდესაც შეტყობინება მოდის, სერვისი მალავს სისტემის შესაბამის შეტყობინებას. შემდეგ მისგან ამოიღებს ინფორმაციას მიღებული SMS-ის შესახებ და გადასცემს ტროას სამაუწყებლო მიმღებს. შედეგად, მომხმარებელი ვერ ხედავს შეტყობინებებს შემომავალი SMS-ის შესახებ და არ იცის რა ხდება. სერვისის გამოწერას მხოლოდ მაშინ იგებს, როცა მისი ანგარიშიდან ფული გაქრება, ან როცა მიდის შეტყობინებების მენიუში და ხედავს პრემიუმ სერვისთან დაკავშირებულ SMS-ს.

მას შემდეგ, რაც Doctor Web სპეციალისტები დაუკავშირდნენ Google-ს, აღმოჩენილი მავნე აპლიკაციები ამოიღეს Google Play-დან. ამ დაწკაპუნების ყველა ცნობილი მოდიფიკაცია წარმატებით არის აღმოჩენილი და ამოღებული Dr.Web ანტივირუსული პროდუქტების მიერ Android-ისთვის და, შესაბამისად, არ წარმოადგენს საფრთხეს ჩვენი მომხმარებლებისთვის.

შეიტყვეთ მეტი Android.Click.322.origin-ის შესახებ

წყარო: www.habr.com