Очередная вредоносная находка в Google Play: в этот раз эксперты «Доктор Веб» обнаружили в Google Play вредоносные приложения, внутри которых скрывался троян-кликер.
Программа автоматически подписывала пользователей на платные сервисы. Исследователи выявили несколько модификаций этой малвари, которые получили идентификаторы Android.Click.322.origin, Android.Click.323.origin и Android.Click.324.origin.
Авторы проявили изрядную изобретательность, чтобы скрыть истинное предназначение приложений, а также снизить вероятность обнаружения малвари, злоумышленники использовали несколько приемов. Кликер был встроен в безобидные работающие приложения, например, фотокамеры и сборники изображений. Также вредоносные приложения были защищены коммерческим упаковщиком Jiagu, который усложняет детектирование проблемы антивирусами и затрудняет анализ кода.
Известно также, что кликер атаковал пользователей избирательно: он не выполнял никаких вредоносных действий, если потенциальная жертва не являлась жителем одной из интересующих злоумышленников стран.
После получения необходимых разрешений, троян получал возможность скрывать все уведомления о входящих SMS и перехватывать текст сообщений и передавал на управляющий сервер технические данные о зараженном устройстве и проверял серийный номер SIM-карты жертвы. Если та соответствует одной из целевых стран, малварь отправляла на сервер информацию о привязанном к ней номере телефона. При этом пользователям из определенных стран кликер демонстрировал фишинговое окно, где предлагалось самостоятельно ввести номер телефона или авторизоваться в учетной записи Google.
Управляющий сервер отправлял малвари задания, в которых содержались адреса сайтов для загрузки и код в формате JavaScript. Этот код используется для управления кликером через интерфейс JavascriptInterface, показа всплывающих сообщений на устройстве, выполнения нажатий на веб-страницах и других действий.
У кликера нет функции работы с SMS и доступа к сообщениям, он известным образом обходит это ограничение, следя за уведомлениями от приложений.
Точные данные о количестве пострадавших не приводятся, но известно, что троянца этой серии предыдущего поколения, Android.Click.312.origin, скачали 102 миллиона пользователей.
Читайте также на АКБ:
