Android Clicker는 사용자를 유료 서비스에 등록합니다.

Doctor Web은 사용자를 유료 서비스에 자동으로 가입시킬 수 있는 Android 애플리케이션의 공식 카탈로그에서 Clicker Trojan을 발견했습니다. 바이러스 분석가들은 이 악성 프로그램의 여러 변형을 식별했습니다. Android.Click.322.origin, Android.Click.323.origin и Android.Click.324.origin. 실제 목적을 숨기고 트로이 목마 탐지 가능성을 줄이기 위해 공격자는 여러 기술을 사용했습니다.

첫째로, 그들은 의도한 기능을 수행하는 무해한 응용 프로그램(카메라 및 이미지 컬렉션)에 클릭커를 구축했습니다. 결과적으로 사용자와 정보보안 전문가가 이를 위협으로 볼 명확한 이유가 없었습니다.

둘째로, 모든 악성 코드는 상업용 Jiagu 패키저로 보호되었으므로 바이러스 백신에 의한 탐지가 복잡해지고 코드 분석이 복잡해졌습니다. 이런 방식으로 트로이 목마는 Google Play 디렉터리에 내장된 보호 기능을 통해 탐지를 피할 가능성이 더 높습니다.

제삼으로, 바이러스 작성자는 트로이 목마를 잘 알려진 광고 및 분석 라이브러리로 위장하려고 했습니다. 통신사 프로그램에 추가된 후에는 Facebook과 adjust의 기존 SDK에 내장되어 해당 구성 요소 사이에 숨겨졌습니다.

또한 클리커는 사용자를 선택적으로 공격했습니다. 잠재적인 피해자가 공격자가 관심을 갖고 있는 국가 중 하나의 거주자가 아닌 경우에는 어떠한 악의적인 행동도 수행하지 않았습니다.

다음은 트로이 목마가 포함된 애플리케이션의 예입니다.

클리커를 설치하고 실행한 후(이하 수정본을 예시로 사용함) Android.Click.322.origin)는 다음 요청을 표시하여 운영 체제 알림에 액세스하려고 시도합니다.

사용자가 필요한 권한을 부여하는 데 동의하면 트로이 목마는 수신 SMS에 대한 모든 알림을 숨기고 메시지 텍스트를 가로챌 수 있습니다.

다음으로 클리커는 감염된 기기에 대한 기술 데이터를 관제 서버로 전송하고 피해자의 SIM 카드 일련번호를 확인한다. 대상 국가 중 하나와 일치하는 경우 Android.Click.322.origin 연결된 전화번호에 대한 정보를 서버로 보냅니다. 동시에 클릭커는 특정 국가의 사용자에게 숫자를 입력하거나 Google 계정에 로그인하도록 요청하는 피싱 창을 표시합니다.

피해자의 SIM 카드가 공격자가 관심을 갖고 있는 국가에 속하지 않는 경우 트로이 목마는 아무런 조치도 취하지 않고 악성 활동을 중단합니다. 다음 국가의 클리커 공격 거주자에 대한 연구된 수정 사항은 다음과 같습니다.

• 오스트리아
• 이탈리아
• 프랑스
• 태국
• 말레이시아
• 독일
• 카타르
• 폴란드
• 그리스
• 아일랜드

번호정보를 전송한 후 Android.Click.322.origin 관리 서버의 명령을 기다립니다. 이는 다운로드할 웹사이트 주소와 JavaScript 형식의 코딩이 포함된 작업을 트로이 목마로 보냅니다. 이 코드는 JavascriptInterface를 통해 클릭커를 제어하고, 장치에 팝업 메시지를 표시하고, 웹 페이지에서 클릭 및 기타 작업을 수행하는 데 사용됩니다.

사이트 주소를 받고, Android.Click.322.origin 클릭에 대한 매개변수가 포함된 이전에 허용된 JavaScript도 로드되는 보이지 않는 WebView에서 이를 엽니다. 프리미엄 서비스가 포함된 웹사이트를 연 후 트로이 목마는 필요한 링크와 버튼을 자동으로 클릭합니다. 다음으로 그는 SMS로부터 확인 코드를 받고 독립적으로 구독을 확인합니다.

Clicker에는 SMS 작업 및 메시지 액세스 기능이 없다는 사실에도 불구하고 이러한 제한을 우회합니다. 이렇습니다. 트로이 목마 서비스는 기본적으로 SMS와 함께 작동하도록 할당된 애플리케이션의 알림을 모니터링합니다. 메시지가 도착하면 서비스는 해당 시스템 알림을 숨깁니다. 그런 다음 수신된 SMS에 대한 정보를 추출하여 트로이 목마 브로드캐스트 수신기로 전송합니다. 결과적으로 사용자는 수신되는 SMS에 대한 알림을 볼 수 없으며 무슨 일이 일어나고 있는지 알지 못합니다. 그는 계정에서 돈이 사라지기 시작하거나 메시지 메뉴로 이동하여 프리미엄 서비스와 관련된 SMS를 볼 때만 서비스 구독에 대해 알게 됩니다.

Doctor Web 전문가가 Google에 연락한 후 감지된 악성 애플리케이션이 Google Play에서 제거되었습니다. 이 클릭커의 알려진 모든 수정 사항은 Android용 Dr.Web 안티 바이러스 제품에 의해 성공적으로 감지 및 제거되므로 사용자에게 위협을 가하지 않습니다.

Android.Click.322.origin에 대해 자세히 알아보세요.

출처 : habr.com