Téměř deset milionů uživatelů Androidu bylo nakaženo populární aplikací pro skenování čárových kódů „Barcode Scanner“ poté, co byla legitimní aplikace nakažena malwarem. Škodlivé chování softwaru odhalili výzkumníci z bezpečnostní firmy Malwarebytes, kteří jej nahlásili společnosti Google, což vedlo k odstranění aplikace z obchodu s aplikacemi.
Koncem loňského prosince začali výzkumníci dostávat tísňová volání od uživatelů zařízení se systémem Android. Společnost uvádí, že tito uživatelé vídali reklamy, které se jim z ničeho nic objevovaly v jejich výchozích prohlížečích. Nejpodivnější na reklamní epidemii bylo, že si nikdo z nich v poslední době nenainstaloval žádné aplikace. Všechny aplikace, které si od té doby nainstalovali, však pocházely přímo z Google Play.
Vyskakovací reklamy pokračovaly, dokud jedna z obětí malwaru nezjistila, že reklamy pocházejí z dlouho nainstalované aplikace s názvem Barcode Scanner.
Výzkumníci detekci rychle přidali poté, co ji nahlásil uživatel, a Google aplikaci z obchodu odstranil . Mnoho uživatelů používalo aplikaci na svých mobilních zařízeních již dlouhou dobu, včetně jednoho uživatele, který ji měl nainstalovanou už léta.
Po aktualizaci vydané v prosinci se aplikace Barcode Scanner změnila z toho, co měla být – čtečky QR kódů a generátoru čárových kódů, užitečného nástroje pro mobilní zařízení – na plnohodnotný malware. Ačkoli Google od té doby aplikaci odstranil, bezpečnostní společnost se domnívá, že k aktualizaci došlo 4. prosince 2020 a změnila funkčnost aplikace tak, aby odesílala reklamy bez varování.
Zatímco mnoho vývojářů začleňuje reklamy do svého softwaru, aby mohli nabízet bezplatné verze, a placené aplikace jednoduše nezobrazují reklamy, v posledních letech došlo ke změně přes noc. Užitečné zdrojové aplikace pro adware jsou stále běžnější.
„Reklamní SDK mohou pocházet od různých společností třetích stran a mohou být pro vývojáře aplikací zdrojem příjmů. Je to situace výhodná pro všechny, “poznamenal Malwarebytes. „Uživatelé dostanou bezplatnou aplikaci, zatímco vývojáři aplikací a vývojáři reklamních SDK dostanou zaplaceno. Ale někdy může společnost Ads SDK něco změnit a reklamy mohou začít být trochu agresivní.
Někdy se třetí strany mohou zapojit do „agresivních“ reklamních praktik, ale v případě této čtečky čárových kódů to tak není. Vědci tvrdí, že škodlivý kód byl místo toho zahrnut v prosincové aktualizaci a byl z velké části skryt, aby se zabránilo odhalení. Aktualizace byla také podepsána stejným bezpečnostním certifikátem, jaký se používal v předchozích verzích aplikace pro Android.
"Ne, v případě snímače čárových kódů byl přidán škodlivý kód, který se v předchozích verzích aplikace nenacházel." Přidaný kód také používal silné zamlžování, aby se zabránilo detekci. Abychom ověřili, že pochází od stejného vývojáře aplikací, potvrdili jsme, že byl podepsán stejným digitálním certifikátem jako předchozí čisté verze “.
Skutečnost, že Google aplikaci odstranil z Google Play, neznamená, že zmizí i z postižených zařízení . Právě s tímto problémem se setkávají uživatelé, kteří si nainstalovali skener čárových kódů. Aby jej vyřešili, musí nyní škodlivou aplikaci ručně odinstalovat.
Vědci nebyli schopni přesně určit, jak dlouho byla aplikace pro čtení čárových kódů legitimní aplikací v obchodě Google Play, než se stala škodlivou.
"Na základě velkého počtu instalací a zpětné vazby od uživatelů věříme, že to funguje už léta." Je děsivé, že pouze s jednou aktualizací se aplikace může stát škodlivou, zatímco je stále pod radarem Google Play Protect. Je mi záhadou, že vývojář aplikací s oblíbenou aplikací ji může přeměnit na malware. Byl to plán od začátku, mít nečinnou aplikaci, čekat na příjezd po dosažení popularity? Myslím, že se to nikdy nedozvíme, “uvádí se ve zprávě vyšetřovatelů.
Zdroj: https://blog.malwarebytes.com/