Android- ക്ലിക്കർ ഉപയോക്താക്കളെ പണമടച്ചുള്ള സേവനങ്ങളിലേക്ക് സബ്‌സ്‌ക്രൈബ് ചെയ്യുന്നു

ഡോക്ടർ വെബ് കമ്പനി ഔദ്യോഗിക കാറ്റലോഗിൽ കണ്ടെത്തി Android- ഉപയോക്താക്കളെ പണമടച്ചുള്ള സേവനങ്ങളിലേക്ക് യാന്ത്രികമായി സബ്‌സ്‌ക്രൈബ് ചെയ്യാൻ കഴിയുന്ന ട്രോജൻ ക്ലിക്കർ ആപ്ലിക്കേഷനുകൾ. വൈറസ് വിശകലന വിദഗ്ധർ ഈ മാൽവെയറിന്റെ നിരവധി പരിഷ്കാരങ്ങൾ തിരിച്ചറിഞ്ഞിട്ടുണ്ട്, അവയെ Android.ക്ലിക്ക്.322.ഒറിജിൻ, Android.ക്ലിക്ക്.323.ഒറിജിൻ и Android.ക്ലിക്ക്.324.ഒറിജിൻ. അവരുടെ യഥാർത്ഥ ലക്ഷ്യം മറയ്ക്കാനും ട്രോജനെ കണ്ടെത്താനുള്ള സാധ്യത കുറയ്ക്കാനും, ആക്രമണകാരികൾ നിരവധി സാങ്കേതിക വിദ്യകൾ ഉപയോഗിച്ചു.

ഒന്നാമതായി, അവർ ക്ലിക്കർമാരെ അവർ ഉദ്ദേശിച്ച പ്രവർത്തനങ്ങൾ നിർവ്വഹിക്കുന്ന നിരുപദ്രവകരമായ ആപ്ലിക്കേഷനുകളിലേക്കും ക്യാമറകളിലേക്കും ചിത്ര ശേഖരങ്ങളിലേക്കും നിർമ്മിച്ചു. തൽഫലമായി, ഉപയോക്താക്കൾക്കും വിവര സുരക്ഷാ പ്രൊഫഷണലുകൾക്കും അവരെ ഒരു ഭീഷണിയായി കാണുന്നതിന് വ്യക്തമായ കാരണമൊന്നുമില്ല.

രണ്ടാമത്, എല്ലാ ക്ഷുദ്രവെയറുകളും വാണിജ്യ ജിയാഗു പാക്കേജർ സംരക്ഷിച്ചിരിക്കുന്നു, ഇത് ആന്റിവൈറസുകൾ വഴി കണ്ടെത്തൽ സങ്കീർണ്ണമാക്കുകയും കോഡ് വിശകലനം സങ്കീർണ്ണമാക്കുകയും ചെയ്യുന്നു. ഇതുവഴി, ഗൂഗിൾ പ്ലേ ഡയറക്‌ടറിയുടെ അന്തർനിർമ്മിത പരിരക്ഷയിലൂടെ കണ്ടെത്തൽ ഒഴിവാക്കാനുള്ള മികച്ച അവസരമാണ് ട്രോജന് ലഭിച്ചത്.

മൂന്നാമതായി, വൈറസ് എഴുത്തുകാർ ട്രോജനെ അറിയപ്പെടുന്ന പരസ്യ-വിശകലന ലൈബ്രറികളായി മറയ്ക്കാൻ ശ്രമിച്ചു. കാരിയർ പ്രോഗ്രാമുകളിലേക്ക് ഒരിക്കൽ ചേർത്തുകഴിഞ്ഞാൽ, അത് Facebook-ൽ നിന്ന് നിലവിലുള്ള SDK-കളിൽ നിർമ്മിച്ച്, അവയുടെ ഘടകങ്ങൾക്കിടയിൽ മറച്ചുകൊണ്ട് ക്രമീകരിക്കുക.

കൂടാതെ, ക്ലിക്കർ ഉപയോക്താക്കളെ തിരഞ്ഞെടുത്ത് ആക്രമിച്ചു: ഇരയാകാൻ സാധ്യതയുള്ളയാൾ ആക്രമണകാരികൾക്ക് താൽപ്പര്യമുള്ള രാജ്യങ്ങളിലൊന്നിൽ താമസിക്കുന്നില്ലെങ്കിൽ അത് ക്ഷുദ്രകരമായ പ്രവർത്തനങ്ങളൊന്നും ചെയ്തില്ല.

ട്രോജൻ ഉൾച്ചേർത്ത ആപ്ലിക്കേഷനുകളുടെ ഉദാഹരണങ്ങൾ ചുവടെയുണ്ട്:

ക്ലിക്കർ ഇൻസ്റ്റാൾ ചെയ്ത് സമാരംഭിച്ചതിന് ശേഷം (ഇനി മുതൽ, അതിന്റെ പരിഷ്ക്കരണം ഒരു ഉദാഹരണമായി ഉപയോഗിക്കും Android.ക്ലിക്ക്.322.ഒറിജിൻ) ഇനിപ്പറയുന്ന അഭ്യർത്ഥന കാണിച്ചുകൊണ്ട് ഓപ്പറേറ്റിംഗ് സിസ്റ്റം അറിയിപ്പുകൾ ആക്സസ് ചെയ്യാൻ ശ്രമിക്കുന്നു:

ആവശ്യമായ അനുമതികൾ നൽകാൻ ഉപയോക്താവ് സമ്മതിക്കുകയാണെങ്കിൽ, ഇൻകമിംഗ് എസ്എംഎസ് സംബന്ധിച്ച എല്ലാ അറിയിപ്പുകളും മറയ്ക്കാനും സന്ദേശ വാചകങ്ങൾ തടസ്സപ്പെടുത്താനും ട്രോജന് കഴിയും.

അടുത്തതായി, ക്ലിക്കർ രോഗബാധിതമായ ഉപകരണത്തെക്കുറിച്ചുള്ള സാങ്കേതിക ഡാറ്റ കൺട്രോൾ സെർവറിലേക്ക് കൈമാറുകയും ഇരയുടെ സിം കാർഡിന്റെ സീരിയൽ നമ്പർ പരിശോധിക്കുകയും ചെയ്യുന്നു. ഇത് ലക്ഷ്യമിടുന്ന രാജ്യങ്ങളിലൊന്നുമായി പൊരുത്തപ്പെടുന്നുവെങ്കിൽ, Android.ക്ലിക്ക്.322.ഒറിജിൻ അതുമായി ബന്ധപ്പെട്ട ഫോൺ നമ്പറിനെക്കുറിച്ചുള്ള വിവരങ്ങൾ സെർവറിലേക്ക് അയയ്ക്കുന്നു. അതേ സമയം, ക്ലിക്കർ ചില രാജ്യങ്ങളിൽ നിന്നുള്ള ഉപയോക്താക്കളെ ഒരു ഫിഷിംഗ് വിൻഡോ കാണിക്കുന്നു, അവിടെ അവർ ഒരു നമ്പർ നൽകാനോ അവരുടെ Google അക്കൗണ്ടിലേക്ക് ലോഗിൻ ചെയ്യാനോ ആവശ്യപ്പെടുന്നു:

ഇരയുടെ സിം കാർഡ് ആക്രമണകാരികൾക്ക് താൽപ്പര്യമുള്ള രാജ്യത്തിന്റേതല്ലെങ്കിൽ, ട്രോജൻ ഒരു നടപടിയും എടുക്കുകയും അതിന്റെ ക്ഷുദ്രകരമായ പ്രവർത്തനം അവസാനിപ്പിക്കുകയും ചെയ്യുന്നു. ഇനിപ്പറയുന്ന രാജ്യങ്ങളിലെ താമസക്കാരെ ആക്രമിക്കുന്ന ക്ലിക്കറിന്റെ ഗവേഷണ പരിഷ്‌ക്കരണങ്ങൾ:

• ആസ്ട്രിയ
• ഇറ്റലി
• ഫ്രാൻസ്
• Таиланд
• Малайзия
• ജർമ്മനി
• ഖത്തർ
• പോളണ്ട്
• ഗ്രീസ്
• അയർലൻഡ്

നമ്പർ വിവരങ്ങൾ കൈമാറിയ ശേഷം Android.ക്ലിക്ക്.322.ഒറിജിൻ മാനേജ്മെന്റ് സെർവറിൽ നിന്നുള്ള കമാൻഡുകൾക്കായി കാത്തിരിക്കുന്നു. ഇത് ട്രോജനിലേക്ക് ടാസ്‌ക്കുകൾ അയയ്‌ക്കുന്നു, അതിൽ വെബ്‌സൈറ്റുകളുടെ വിലാസങ്ങൾ ഡൗൺലോഡ് ചെയ്യാനും JavaScript ഫോർമാറ്റിൽ കോഡ് ചെയ്യാനും കഴിയും. JavascriptInterface വഴി ക്ലിക്ക് ചെയ്യുന്നയാളെ നിയന്ത്രിക്കാനും ഉപകരണത്തിൽ പോപ്പ്-അപ്പ് സന്ദേശങ്ങൾ പ്രദർശിപ്പിക്കാനും വെബ് പേജുകളിൽ ക്ലിക്ക് ചെയ്യാനും മറ്റ് പ്രവർത്തനങ്ങൾ ചെയ്യാനും ഈ കോഡ് ഉപയോഗിക്കുന്നു.

സൈറ്റ് വിലാസം ലഭിച്ചു, Android.ക്ലിക്ക്.322.ഒറിജിൻ ഒരു അദൃശ്യ WebView-ൽ അത് തുറക്കുന്നു, അവിടെ ക്ലിക്കുകൾക്കുള്ള പാരാമീറ്ററുകളുള്ള മുമ്പ് സ്വീകരിച്ച JavaScript ലോഡുചെയ്തിരിക്കുന്നു. പ്രീമിയം സേവനമുള്ള ഒരു വെബ്‌സൈറ്റ് തുറന്ന ശേഷം, ആവശ്യമായ ലിങ്കുകളിലും ബട്ടണുകളിലും ട്രോജൻ യാന്ത്രികമായി ക്ലിക്ക് ചെയ്യുന്നു. അടുത്തതായി, അയാൾക്ക് SMS-ൽ നിന്ന് സ്ഥിരീകരണ കോഡുകൾ ലഭിക്കുകയും സബ്സ്ക്രിപ്ഷൻ സ്വതന്ത്രമായി സ്ഥിരീകരിക്കുകയും ചെയ്യുന്നു.

എസ്എംഎസ് ഉപയോഗിച്ച് പ്രവർത്തിക്കാനും സന്ദേശങ്ങൾ ആക്സസ് ചെയ്യാനും ക്ലിക്കറിന് ഇല്ല എന്ന വസ്തുത ഉണ്ടായിരുന്നിട്ടും, ഇത് ഈ പരിമിതിയെ മറികടക്കുന്നു. ഇത് ഇങ്ങനെ പോകുന്നു. ട്രോജൻ സേവനം ആപ്ലിക്കേഷനിൽ നിന്നുള്ള അറിയിപ്പുകൾ നിരീക്ഷിക്കുന്നു, അത് സ്ഥിരസ്ഥിതിയായി SMS-ൽ പ്രവർത്തിക്കാൻ നിയോഗിക്കപ്പെടുന്നു. ഒരു സന്ദേശം വരുമ്പോൾ, സേവനം അനുബന്ധ സിസ്റ്റം അറിയിപ്പ് മറയ്ക്കുന്നു. പിന്നീട് അതിൽ നിന്ന് ലഭിച്ച എസ്എംഎസുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ വേർതിരിച്ചെടുക്കുകയും അത് ട്രോജൻ ബ്രോഡ്കാസ്റ്റ് റിസീവറിലേക്ക് കൈമാറുകയും ചെയ്യുന്നു. തൽഫലമായി, ഇൻകമിംഗ് SMS-നെക്കുറിച്ചുള്ള അറിയിപ്പുകളൊന്നും ഉപയോക്താവ് കാണുന്നില്ല, എന്താണ് സംഭവിക്കുന്നതെന്ന് അറിയില്ല. തന്റെ അക്കൗണ്ടിൽ നിന്ന് പണം അപ്രത്യക്ഷമാകുമ്പോൾ അല്ലെങ്കിൽ സന്ദേശങ്ങളുടെ മെനുവിൽ പോയി പ്രീമിയം സേവനവുമായി ബന്ധപ്പെട്ട എസ്എംഎസ് കാണുമ്പോഴോ മാത്രമേ സേവനത്തിലേക്ക് സബ്‌സ്‌ക്രൈബുചെയ്യുന്നതിനെക്കുറിച്ച് അവൻ അറിയൂ.

ഡോക്ടർ വെബ് സ്പെഷ്യലിസ്റ്റുകൾ ഗൂഗിളിനോട് അഭ്യർത്ഥിച്ചതിനെത്തുടർന്ന്, കണ്ടെത്തിയ ക്ഷുദ്രകരമായ ആപ്പുകൾ ഗൂഗിൾ പ്ലേയിൽ നിന്ന് നീക്കം ചെയ്തു. ഈ ക്ലിക്കറിന്റെ എല്ലാ അറിയപ്പെടുന്ന പരിഷ്കാരങ്ങളും ഡോ.വെബ് ആന്റിവൈറസ് ഉൽപ്പന്നങ്ങൾ വിജയകരമായി കണ്ടെത്തി നീക്കം ചെയ്തു. Android അതിനാൽ ഞങ്ങളുടെ ഉപയോക്താക്കൾക്ക് ഒരു ഭീഷണിയും ഉയർത്തരുത്.

ഇതിനെക്കുറിച്ച് കൂടുതൽ വായിക്കുക Android.ക്ലിക്ക്.322.ഒറിജിൻ

അവലംബം: www.habr.com