एन्ड्रोइड क्लिकरले सशुल्क सेवाहरूको लागि प्रयोगकर्ताहरूलाई साइन अप गर्दछ

डाक्टर वेबले एन्ड्रोइड अनुप्रयोगहरूको आधिकारिक क्याटलगमा क्लिकर ट्रोजन पत्ता लगाएको छ जुन प्रयोगकर्ताहरूलाई सशुल्क सेवाहरूमा स्वचालित रूपमा सदस्यता लिन सक्षम छ। भाइरस विश्लेषकहरूले यस दुर्भावनापूर्ण कार्यक्रमको धेरै परिमार्जनहरू पहिचान गरेका छन्, भनिन्छ Android.Click.322.origin, Android.Click.323.origin и Android.Click.324.origin। आफ्नो वास्तविक उद्देश्य लुकाउन र ट्रोजन पत्ता लगाउने सम्भावना कम गर्न, आक्रमणकारीहरूले धेरै प्रविधिहरू प्रयोग गरे।

पहिले, तिनीहरूले निर्दोष अनुप्रयोगहरूमा क्लिकरहरू निर्माण गरे — क्यामेरा र छवि सङ्कलन — जसले तिनीहरूको उद्देश्य कार्यहरू प्रदर्शन गर्यो। नतिजाको रूपमा, प्रयोगकर्ताहरू र सूचना सुरक्षा पेशेवरहरूले तिनीहरूलाई खतराको रूपमा हेर्ने कुनै स्पष्ट कारण थिएन।

दोस्रो, सबै मालवेयरहरू व्यावसायिक Jiagu प्याकेजरद्वारा सुरक्षित गरिएको थियो, जसले एन्टिभाइरसहरूद्वारा पत्ता लगाउन जटिल बनाउँछ र कोड विश्लेषणलाई जटिल बनाउँछ। यस तरिकाले, ट्रोजनसँग गुगल प्ले डाइरेक्टरीको बिल्ट-इन सुरक्षाद्वारा पत्ता लगाउनबाट बच्ने राम्रो मौका थियो।

तेस्रो, भाइरस लेखकहरूले ट्रोजनलाई प्रसिद्ध विज्ञापन र विश्लेषणात्मक पुस्तकालयहरूको रूपमा लुकाउने प्रयास गरे। एक पटक वाहक कार्यक्रमहरूमा थपिएपछि, यो फेसबुक र समायोजनबाट अवस्थित SDK हरूमा बनाइएको थियो, तिनीहरूका कम्पोनेन्टहरू बीच लुकाएर।

थप रूपमा, क्लिकरले प्रयोगकर्ताहरूलाई छनौट रूपमा आक्रमण गर्‍यो: यदि सम्भावित पीडित आक्रमणकारीहरूको रुचि भएको देशको निवासी नभएको खण्डमा यसले कुनै पनि दुर्भावनापूर्ण कार्यहरू प्रदर्शन गर्दैन।

तल एम्बेडेड ट्रोजन भएका अनुप्रयोगहरूको उदाहरणहरू छन्:

क्लिकर स्थापना र सुरु गरेपछि (यसपछि, यसको परिमार्जन उदाहरणको रूपमा प्रयोग गरिनेछ Android.Click.322.origin) निम्न अनुरोध देखाएर अपरेटिङ सिस्टम सूचनाहरू पहुँच गर्ने प्रयास गर्दछ:

यदि प्रयोगकर्ताले उसलाई आवश्यक अनुमतिहरू प्रदान गर्न सहमत भएमा, ट्रोजनले आगमन एसएमएस र सन्देश पाठहरू अवरोध गर्ने बारे सबै सूचनाहरू लुकाउन सक्षम हुनेछ।

अर्को, क्लिकरले कन्ट्रोल सर्भरमा संक्रमित यन्त्रको प्राविधिक डेटा पठाउँछ र पीडितको सिम कार्डको सिरियल नम्बर जाँच गर्दछ। यदि यो लक्षित देशहरू मध्ये एकसँग मेल खान्छ भने, Android.Click.322.origin यससँग सम्बन्धित फोन नम्बरको बारेमा सर्भर जानकारी पठाउँछ। एकै समयमा, क्लिकरले निश्चित देशका प्रयोगकर्ताहरूलाई फिसिङ विन्डो देखाउँदछ जहाँ उनीहरूले उनीहरूलाई नम्बर प्रविष्ट गर्न वा आफ्नो Google खातामा लग इन गर्न सोध्छन्:

यदि पीडितको सिम कार्ड आक्रमणकारीहरूको रुचिको देशसँग सम्बन्धित छैन भने, ट्रोजनले कुनै कारबाही गर्दैन र यसको दुर्भावनापूर्ण गतिविधि रोक्छ। क्लिकर आक्रमण निम्न देशका बासिन्दाहरूको अनुसन्धान परिमार्जनहरू:

• Austria
• इटाली
• फ्रान्स
• Таиланд
• मलायी
• जर्मनी
• कतार
• पोल्याण्ड
• ग्रीस
• आयरल्याण्ड

नम्बर जानकारी प्रसारण पछि Android.Click.322.origin व्यवस्थापन सर्भरबाट आदेशहरूको लागि पर्खन्छ। यसले ट्रोजनमा कार्यहरू पठाउँछ, जसमा डाउनलोड गर्नका लागि वेबसाइटहरूको ठेगाना र JavaScript ढाँचामा कोड हुन्छ। यो कोड JavascriptInterface मार्फत क्लिकरलाई नियन्त्रण गर्न, उपकरणमा पप-अप सन्देशहरू प्रदर्शन गर्न, वेब पृष्ठहरूमा क्लिकहरू प्रदर्शन गर्न र अन्य कार्यहरू गर्न प्रयोग गरिन्छ।

साइट ठेगाना प्राप्त गरेपछि, Android.Click.322.origin यसलाई अदृश्य वेबभ्यूमा खोल्छ, जहाँ क्लिकहरूको लागि प्यारामिटरहरू सहित पहिले स्वीकार गरिएको JavaScript पनि लोड हुन्छ। प्रिमियम सेवाको साथ वेबसाइट खोलिसकेपछि, ट्रोजनले स्वचालित रूपमा आवश्यक लिङ्कहरू र बटनहरूमा क्लिक गर्दछ। अर्को, उसले एसएमएसबाट प्रमाणिकरण कोडहरू प्राप्त गर्दछ र स्वतन्त्र रूपमा सदस्यता पुष्टि गर्दछ।

यस तथ्यको बावजुद क्लिकरसँग एसएमएससँग काम गर्ने र सन्देशहरू पहुँच गर्ने कार्य छैन, यसले यो सीमालाई बाइपास गर्दछ। यसरी चल्छ। ट्रोजन सेवाले अनुप्रयोगबाट सूचनाहरू निगरानी गर्दछ, जुन पूर्वनिर्धारित रूपमा SMS सँग काम गर्न तोकिएको हुन्छ। जब सन्देश आउँछ, सेवाले सम्बन्धित प्रणाली सूचना लुकाउँछ। त्यसपछि यसले प्राप्त एसएमएसको बारेमा जानकारी निकाल्छ र ट्रोजन प्रसारण रिसीभरमा पठाउँछ। नतिजाको रूपमा, प्रयोगकर्ताले आगमन एसएमएसको बारेमा कुनै सूचनाहरू देख्दैन र के भइरहेको छ भन्ने बारे सचेत हुँदैन। उसले आफ्नो खाताबाट पैसा गायब हुन थालेपछि वा म्यासेज मेनुमा गएर प्रिमियम सेवासँग सम्बन्धित SMS देख्दा मात्र सेवाको सदस्यता लिने बारे जान्दछ।

डाक्टर वेब विशेषज्ञहरूले गुगललाई सम्पर्क गरेपछि, पत्ता लगाइएको खराब अनुप्रयोगहरू गुगल प्लेबाट हटाइयो। यस क्लिकरका सबै ज्ञात परिमार्जनहरू एन्ड्रोइडका लागि Dr.Web एन्टि-भाइरस उत्पादनहरू द्वारा सफलतापूर्वक पत्ता लगाइएका छन् र हटाइएका छन् र त्यसैले हाम्रा प्रयोगकर्ताहरूलाई खतरा हुँदैन।

Android.Click.322.origin बारे थप जान्नुहोस्

स्रोत: www.habr.com