Андроид кликер ги регистрира корисниците за платени услуги

Доктор Веб откри тројанец со кликање во официјалниот каталог на апликации за Android кој е способен автоматски да ги претплати корисниците на платени услуги. Вирусни аналитичари идентификуваа неколку модификации на оваа злонамерна програма, наречена Android.Click.322.origin, Android.Click.323.origin и Android.Click.324.origin. За да ја сокријат нивната вистинска цел и да ја намалат веројатноста за откривање на тројанецот, напаѓачите користеа неколку техники.

Прво, тие вградија кликери во безопасни апликации - камери и колекции на слики - кои ги извршуваа нивните предвидени функции. Како резултат на тоа, немаше јасна причина корисниците и професионалците за безбедност на информациите да ги гледаат како закана.

Второ, целиот малициозен софтвер беше заштитен од комерцијалниот пакувач Jiagu, што го отежнува откривањето со антивируси и ја комплицира анализата на кодот. На овој начин, тројанецот имаше поголеми шанси да избегне откривање со вградената заштита на директориумот на Google Play.

Трето, пишувачите на вируси се обидоа да го прикријат тројанецот како добро познати рекламни и аналитички библиотеки. Откако беше додаден во програмите на операторот, тој беше вграден во постоечките SDK од Facebook и Adjust, криејќи се меѓу нивните компоненти.

Дополнително, кликерот ги напаѓаше корисниците селективно: не изврши никакви злонамерни дејства доколку потенцијалната жртва не е жител на една од земјите од интерес на напаѓачите.

Подолу се дадени примери на апликации со вграден тројанец во нив:

По инсталирањето и стартувањето на кликерот (во натамошниот текст, неговата измена ќе се користи како пример Android.Click.322.origin) се обидува да пристапи до известувањата на оперативниот систем со прикажување на следново барање:

Доколку корисникот се согласи да му ги даде потребните дозволи, тројанецот ќе може да ги скрие сите известувања за дојдовните СМС-пораки и да ги пресретне текстовите на пораките.

Следно, кликерот пренесува технички податоци за заразениот уред до контролниот сервер и го проверува серискиот број на SIM картичката на жртвата. Ако одговара на една од целните земји, Android.Click.322.origin испраќа до серверот информации за телефонскиот број поврзан со него. Во исто време, кликерот им покажува на корисниците од одредени земји прозорец за фишинг каде што бараат од нив да внесат број или да се најават на нивната сметка на Google:

Ако SIM-картичката на жртвата не припаѓа на земјата од интерес на напаѓачите, тројанецот не презема ништо и ја прекинува својата злонамерна активност. Истражуваните модификации на нападот со кликер жители на следните земји:

• Австрија
• Италија
• Франција
• Тајланд
• Малезија
• Германија
• Катар
• Полска
• Грција
• Ирска

По пренесувањето на информациите за бројот Android.Click.322.origin чека команди од серверот за управување. Испраќа задачи до тројанецот, кои ги содржат адресите на веб-локациите за преземање и кодирање во формат JavaScript. Овој код се користи за контрола на кликачот преку JavascriptInterface, прикажување на скокачки пораки на уредот, вршење кликови на веб-страници и други дејства.

Откако ја добивте адресата на страницата, Android.Click.322.origin го отвора во невидлив WebView, каде што се вчитува и претходно прифатениот JavaScript со параметри за кликови. По отворањето на веб-локација со премиум услуга, тројанецот автоматски кликнува на потребните врски и копчиња. Следно, тој добива шифри за потврда од СМС и самостојно ја потврдува претплатата.

И покрај фактот што кликерот нема функција за работа со СМС и пристап до пораки, тој го заобиколува ова ограничување. Тоа оди вака. Тројанската услуга ги следи известувањата од апликацијата, која стандардно е доделена да работи со СМС. Кога ќе пристигне порака, услугата го крие соодветното системско известување. Потоа ги извлекува информациите за примената СМС од него и ги пренесува до тројанскиот емитувачки приемник. Како резултат на тоа, корисникот не гледа никакви известувања за дојдовните СМС пораки и не е свесен што се случува. Тој дознава за претплата на услугата само кога парите ќе почнат да исчезнуваат од неговата сметка или кога ќе отиде во менито за пораки и ќе види СМС поврзана со премиум услугата.

Откако специјалистите на Doctor Web контактираа со Google, откриените малициозни апликации беа отстранети од Google Play. Сите познати модификации на овој кликер се успешно откриени и отстранети од антивирусните производи на Dr.Web за Android и затоа не претставуваат закана за нашите корисници.

Дознајте повеќе за Android.Click.322.origin

Извор: www.habr.com