Android क्लिकर वापरकर्त्यांना सशुल्क सेवांसाठी साइन अप करतो

डॉक्टर वेबने Android ऍप्लिकेशन्सच्या अधिकृत कॅटलॉगमध्ये क्लिकर ट्रोजन शोधला आहे जो वापरकर्त्यांना सशुल्क सेवांसाठी स्वयंचलितपणे सदस्यता घेण्यास सक्षम आहे. व्हायरस विश्लेषकांनी या दुर्भावनापूर्ण प्रोग्रामचे अनेक बदल ओळखले आहेत, ज्याला म्हणतात Android.Click.322.origin, Android.Click.323.origin и Android.Click.324.origin. त्यांचा खरा उद्देश लपविण्यासाठी आणि ट्रोजन शोधण्याची शक्यता कमी करण्यासाठी, हल्लेखोरांनी अनेक तंत्रे वापरली.

पहिल्याने, त्यांनी निरुपद्रवी ऍप्लिकेशन्समध्ये क्लिकर तयार केले—कॅमेरे आणि प्रतिमा संग्रह—ज्याने त्यांची इच्छित कार्ये केली. परिणामी, वापरकर्ते आणि माहिती सुरक्षा व्यावसायिकांना त्यांना धोका म्हणून पाहण्याचे कोणतेही स्पष्ट कारण नव्हते.

दुसरे म्हणजे, सर्व मालवेअर व्यावसायिक Jiagu पॅकेजरद्वारे संरक्षित केले गेले होते, जे अँटीव्हायरसद्वारे शोधण्यात गुंतागुंत करते आणि कोड विश्लेषण गुंतागुंतीचे करते. अशा प्रकारे, ट्रोजनला Google Play निर्देशिकेच्या अंगभूत संरक्षणाद्वारे शोध टाळण्याची चांगली संधी होती.

तिसर्यांदा, व्हायरस लेखकांनी ट्रोजनला सुप्रसिद्ध जाहिरात आणि विश्लेषणात्मक लायब्ररी म्हणून वेष करण्याचा प्रयत्न केला. एकदा वाहक प्रोग्राममध्ये जोडल्यानंतर, ते Facebook आणि Adjust मधील विद्यमान SDK मध्ये तयार केले गेले, त्यांच्या घटकांमध्ये लपवले गेले.

याव्यतिरिक्त, क्लिकरने वापरकर्त्यांवर निवडकपणे हल्ला केला: संभाव्य बळी हल्लेखोरांना स्वारस्य असलेल्या देशांपैकी एकाचा रहिवासी नसल्यास त्याने कोणतीही दुर्भावनापूर्ण कृती केली नाही.

खाली ट्रोजन एम्बेड केलेल्या अनुप्रयोगांची उदाहरणे आहेत:

क्लिकर स्थापित आणि लॉन्च केल्यानंतर (यापुढे, त्याचे बदल उदाहरण म्हणून वापरले जातील Android.Click.322.origin) खालील विनंती दर्शवून ऑपरेटिंग सिस्टम सूचनांमध्ये प्रवेश करण्याचा प्रयत्न करते:

जर वापरकर्त्याने त्याला आवश्यक परवानग्या देण्यास सहमती दिली, तर ट्रोजन येणार्‍या एसएमएसबद्दलच्या सर्व सूचना लपवू शकेल आणि संदेश मजकूर रोखू शकेल.

पुढे, क्लिकर संक्रमित डिव्हाइसबद्दलचा तांत्रिक डेटा कंट्रोल सर्व्हरवर पाठवतो आणि पीडितेच्या सिम कार्डचा अनुक्रमांक तपासतो. जर ते लक्ष्यित देशांपैकी एकाशी जुळत असेल, Android.Click.322.origin त्याच्याशी संबंधित फोन नंबरची माहिती सर्व्हरला पाठवते. त्याच वेळी, क्लिकर विशिष्ट देशांतील वापरकर्त्यांना एक फिशिंग विंडो दाखवतो जेथे ते त्यांना नंबर प्रविष्ट करण्यास किंवा त्यांच्या Google खात्यात लॉग इन करण्यास सांगतात:

जर पीडितेचे सिम कार्ड हल्लेखोरांच्या स्वारस्याच्या देशाचे नसेल, तर ट्रोजन कोणतीही कारवाई करत नाही आणि त्याची दुर्भावनापूर्ण क्रियाकलाप थांबवते. क्लिकर हल्ला खालील देशांतील रहिवाशांचे संशोधन केलेले बदल:

• ऑस्ट्रिया
• इटली
• फ्रान्स
• थायलंड
• मलयालम
• जर्मनी
• कतार
• पोलंड
• ग्रीस
• आयरलँड

क्रमांक माहिती प्रसारित केल्यानंतर Android.Click.322.origin मॅनेजमेंट सर्व्हरकडून कमांडची वाट पाहत आहे. हे ट्रोजनला टास्क पाठवते, ज्यात डाउनलोड करण्यासाठी वेबसाइट्सचे पत्ते आणि JavaScript फॉरमॅटमध्ये कोड असतात. हा कोड JavascriptInterface द्वारे क्लिकर नियंत्रित करण्यासाठी, डिव्हाइसवर पॉप-अप संदेश प्रदर्शित करण्यासाठी, वेब पृष्ठांवर क्लिक करण्यासाठी आणि इतर क्रिया करण्यासाठी वापरला जातो.

साइट पत्ता मिळाल्यानंतर, Android.Click.322.origin ते अदृश्य WebView मध्ये उघडते, जिथे क्लिकसाठी पॅरामीटर्ससह पूर्वी स्वीकारलेली JavaScript देखील लोड केली जाते. प्रीमियम सेवेसह वेबसाइट उघडल्यानंतर, ट्रोजन आपोआप आवश्यक लिंक्स आणि बटणांवर क्लिक करते. पुढे, त्याला SMS वरून सत्यापन कोड प्राप्त होतात आणि स्वतंत्रपणे सबस्क्रिप्शनची पुष्टी करते.

क्लिकरकडे एसएमएससह कार्य करण्याचे आणि संदेशांमध्ये प्रवेश करण्याचे कार्य नाही हे असूनही, ते ही मर्यादा ओलांडते. हे असे जाते. ट्रोजन सेवा अनुप्रयोगातील सूचनांचे परीक्षण करते, जी डीफॉल्टनुसार एसएमएससह कार्य करण्यासाठी नियुक्त केली जाते. संदेश आल्यावर, सेवा संबंधित सिस्टम सूचना लपवते. त्यानंतर ते प्राप्त झालेल्या एसएमएसबद्दल माहिती काढते आणि ट्रोजन ब्रॉडकास्ट रिसीव्हरकडे पाठवते. परिणामी, वापरकर्त्याला येणार्‍या एसएमएसबद्दल कोणतीही सूचना दिसत नाही आणि काय होत आहे याची माहिती नसते. जेव्हा त्याच्या खात्यातून पैसे गायब होऊ लागतात किंवा जेव्हा तो संदेश मेनूवर जातो आणि प्रीमियम सेवेशी संबंधित एसएमएस पाहतो तेव्हाच त्याला सेवेचे सदस्यत्व घेण्याबद्दल कळते.

डॉक्टर वेब तज्ञांनी Google शी संपर्क साधल्यानंतर, आढळलेले दुर्भावनापूर्ण अनुप्रयोग Google Play वरून काढले गेले. या क्लिकरचे सर्व ज्ञात बदल Android साठी Dr.Web अँटी-व्हायरस उत्पादनांद्वारे यशस्वीरित्या शोधले जातात आणि काढले जातात आणि त्यामुळे आमच्या वापरकर्त्यांना धोका नाही.

Android.Click.322.origin बद्दल अधिक जाणून घ्या

स्त्रोत: www.habr.com