Андроид кликер пријављује кориснике за плаћене услуге

Доцтор Веб је у званичном каталогу Андроид апликација открио кликер Тројан који је способан да аутоматски претплати кориснике на плаћене услуге. Вирусни аналитичари су идентификовали неколико модификација овог злонамерног програма, тзв Андроид.Цлицк.322.оригин, Андроид.Цлицк.323.оригин и Андроид.Цлицк.324.оригин. Да би сакрили своју праву сврху и смањили вероватноћу откривања тројанца, нападачи су користили неколико техника.

Прво, уградили су кликере у безопасне апликације — камере и колекције слика — које су обављале своје предвиђене функције. Као резултат тога, није било јасног разлога да их корисници и професионалци за безбедност информација виде као претњу.

Друго, сав малвер је заштићен комерцијалним пакетом Јиагу, што компликује детекцију антивирусима и компликује анализу кода. На овај начин, тројанац је имао веће шансе да избегне откривање уграђеном заштитом Гоогле Плаи директоријума.

Треће, писци вируса покушали су да прикрију Тројанца у познате рекламне и аналитичке библиотеке. Након што је додат у програме носиоца, уграђен је у постојеће СДК-ове од Фацебоок-а и Адјуст-а, скривајући се међу њиховим компонентама.

Поред тога, кликер је селективно напао кориснике: није извршио никакве злонамерне радње ако потенцијална жртва није становник једне од земаља од интереса за нападаче.

Испод су примери апликација у којима је уграђен тројанац:

Након инсталирања и покретања кликера (у даљем тексту, његова модификација ће се користити као пример Андроид.Цлицк.322.оригин) покушава да приступи обавештењима оперативног система тако што приказује следећи захтев:

Ако корисник пристане да му додели потребне дозволе, тројанац ће моћи да сакрије сва обавештења о долазним СМС-овима и пресретне текстове порука.

Затим, кликер преноси техничке податке о зараженом уређају на контролни сервер и проверава серијски број СИМ картице жртве. Ако одговара једној од циљних земаља, Андроид.Цлицк.322.оригин шаље серверу информације о телефонском броју који је са њим повезан. Истовремено, кликер приказује корисницима из одређених земаља прозор за пхисхинг у којем од њих траже да унесу број или се пријаве на свој Гоогле налог:

Ако СИМ картица жртве не припада земљи од интереса за нападаче, тројанац не предузима ништа и зауставља своју злонамерну активност. Истражене модификације кликер напада становнике следећих земаља:

• Аустрија
• Италија
• Француска
• Тајланд
• Малезија
• Немачка
• Катар
• Пољска
• Грчка
• Ирска

Након преношења информација о броју Андроид.Цлицк.322.оригин чека команде са сервера за управљање. Тројанцу шаље задатке који садрже адресе веб локација за преузимање и кодирање у ЈаваСцрипт формату. Овај код се користи за контролу кликера преко ЈавасцриптИнтерфаце-а, приказивање искачућих порука на уређају, извршавање кликова на веб страницама и друге радње.

Пошто је добио адресу сајта, Андроид.Цлицк.322.оригин отвара га у невидљивом ВебВиев-у, где се такође учитава претходно прихваћени ЈаваСцрипт са параметрима за кликове. Након отварања веб странице са премиум услугом, тројанац аутоматски кликће на потребне везе и дугмад. Затим добија верификационе кодове из СМС-а и самостално потврђује претплату.

Упркос чињеници да кликер нема функцију рада са СМС-ом и приступа порукама, он заобилази ово ограничење. Иде овако. Тројански сервис прати обавештења из апликације, која је подразумевано додељена за рад са СМС-ом. Када стигне порука, услуга сакрива одговарајуће системско обавештење. Затим извлачи информације о примљеном СМС-у из њега и преноси их тројанском пријемнику. Као резултат тога, корисник не види никаква обавештења о долазним СМС-овима и није свестан шта се дешава. За претплату на услугу сазнаје тек када новац почне да нестаје са његовог рачуна или када уђе у мени за поруке и види СМС у вези са премиум услугом.

Након што су стручњаци Доктор Веба контактирали Гоогле, откривене злонамерне апликације су уклоњене са Гоогле Плаи-а. Др.Веб антивирусни производи за Андроид успешно откривају и уклањају све познате модификације овог кликера и стога не представљају претњу нашим корисницима.

Сазнајте више о Андроид.Цлицк.322.оригин

Извор: ввв.хабр.цом