Σχεδόν δέκα εκατομμύρια χρήστες Android έχουν μολυνθεί από τη δημοφιλή εφαρμογή σάρωσης γραμμωτού κώδικα "Barcode Scanner", αφού η νόμιμη εφαρμογή καταστράφηκε από κακόβουλο λογισμικό. Η κακόβουλη συμπεριφορά του λογισμικού αποκαλύφθηκε από ερευνητές της εταιρείας ασφαλείας Malwarebytes, οι οποίοι το ανέφεραν στην Google, με αποτέλεσμα την αφαίρεση της εφαρμογής από το app store.
Ήταν στα τέλη του περασμένου Δεκεμβρίου όταν οι ερευνητές άρχισαν να λαμβάνουν κλήσεις κινδύνου από χρήστες συσκευών Android. Η εταιρεία αναφέρει ότι αυτοί οι χρήστες έβλεπαν διαφημίσεις να εμφανίζονται από το πουθενά μέσω των προεπιλεγμένων προγραμμάτων περιήγησής τους. Το πιο περίεργο με την επιδημία διαφημίσεων ήταν ότι κανένας από αυτούς δεν είχε εγκαταστήσει πρόσφατα καμία εφαρμογή. Ωστόσο, όλες οι εφαρμογές που είχαν εγκαταστήσει από τότε προέρχονταν απευθείας από το Google Play.
Οι αναδυόμενες διαφημίσεις συνεχίστηκαν έως ότου ένα από τα θύματα του κακόβουλου λογισμικού ανακάλυψε ότι οι διαφημίσεις προέρχονταν από μια μακροχρόνια εγκατεστημένη εφαρμογή που ονομάζεται Barcode Scanner.
Οι ερευνητές πρόσθεσαν γρήγορα την ανίχνευση αφού ένας χρήστης την ανέφερε και η Google αφαίρεσε την εφαρμογή από το κατάστημα . Πολλοί χρήστες χρησιμοποιούσαν την εφαρμογή στις κινητές συσκευές τους για μεγάλο χρονικό διάστημα, συμπεριλαμβανομένου ενός χρήστη που την είχε εγκατεστημένη εδώ και χρόνια.
Μετά από μια ενημέρωση που κυκλοφόρησε τον Δεκέμβριο , η εφαρμογή Barcode Scanner μετατράπηκε από αυτό που υποτίθεται ότι ήταν —ένας αναγνώστης κωδικών QR και γεννήτρια γραμμωτού κώδικα, ένα χρήσιμο βοηθητικό πρόγραμμα για κινητές συσκευές— σε πλήρες κακόβουλο λογισμικό. Παρόλο που η Google έχει έκτοτε καταργήσει την εφαρμογή, η εταιρεία ασφαλείας πιστεύει ότι η ενημέρωση πραγματοποιήθηκε στις 4 Δεκεμβρίου 2020, η οποία άλλαξε τη λειτουργικότητα της εφαρμογής ώστε να στέλνει διαφημίσεις χωρίς προειδοποίηση.
Ενώ πολλοί προγραμματιστές ενσωματώνουν διαφημίσεις στο λογισμικό τους για να προσφέρουν δωρεάν εκδόσεις και οι εφαρμογές επί πληρωμή απλώς δεν εμφανίζουν διαφημίσεις, τα τελευταία χρόνια, η αλλαγή έγινε εν μία νυκτί. Οι χρήσιμες εφαρμογές πόρων για adware γίνονται όλο και πιο κοινές.
«Τα διαφημιστικά SDK μπορούν να προέρχονται από διάφορες τρίτες εταιρείες και να αποτελούν πηγή εσόδων για τον προγραμματιστή εφαρμογών. Είναι μια κατάσταση win-win», σημείωσε η Malwarebytes. «Οι χρήστες λαμβάνουν μια δωρεάν εφαρμογή, ενώ οι προγραμματιστές εφαρμογών και οι προγραμματιστές SDK διαφημίσεων πληρώνονται. Αλλά κάθε τόσο, μια εταιρεία SDK διαφημίσεων μπορεί να αλλάξει κάτι και οι διαφημίσεις να αρχίσουν να γίνονται λίγο επιθετικές.
Μερικές φορές, τρίτα μέρη ενδέχεται να εμπλέκονται σε «επιθετικές» διαφημιστικές πρακτικές, αλλά αυτό δεν ισχύει με αυτόν τον αναγνώστη γραμμωτού κώδικα. Αντίθετα, οι ερευνητές λένε ότι ο κακόβουλος κώδικας συμπεριλήφθηκε στην ενημέρωση του Δεκεμβρίου και ήταν σε μεγάλο βαθμό κρυμμένος για να αποφευχθεί η ανίχνευση. Η ενημέρωση υπογράφηκε επίσης με το ίδιο πιστοποιητικό ασφαλείας που χρησιμοποιήθηκε σε προηγούμενες εκδόσεις της εφαρμογής Android.
"Όχι, στην περίπτωση του Barcode Scanner, προστέθηκε κακόβουλος κώδικας που δεν υπήρχε σε προηγούμενες εκδόσεις της εφαρμογής. Επίσης, ο προστιθέμενος κώδικας χρησιμοποίησε ισχυρή συσκότιση για να αποφύγει τον εντοπισμό. Για να επαληθεύσουμε ότι προέρχεται από τον ίδιο προγραμματιστή εφαρμογών, επιβεβαιώσαμε ότι είχε υπογραφεί από το ίδιο ψηφιακό πιστοποιητικό με τις προηγούμενες καθαρές εκδόσεις."
Το γεγονός ότι η Google αφαίρεσε την εφαρμογή από το Google Play δεν σημαίνει ότι θα εξαφανιστεί και από τις συσκευές που επηρεάζονται . Αυτό ακριβώς είναι το πρόβλημα που αντιμετωπίζουν οι χρήστες που εγκατέστησαν το Barcode Scanner. Για να επιλύσουν αυτό το πρόβλημα, οι χρήστες πρέπει να απεγκαταστήσουν χειροκίνητα την πλέον κακόβουλη εφαρμογή.
Οι ερευνητές δεν μπόρεσαν να προσδιορίσουν ακριβώς για πόσο καιρό η εφαρμογή σαρωτή γραμμωτού κώδικα ήταν μια νόμιμη εφαρμογή στο Google Play store προτού γίνει αδίστακτη.
«Με βάση τον μεγάλο αριθμό εγκαταστάσεων και τα σχόλια των χρηστών, πιστεύουμε ότι υπάρχει εδώ και χρόνια. Είναι τρομακτικό το γεγονός ότι με μία μόνο ενημέρωση, μια εφαρμογή μπορεί να γίνει αδίστακτη ενώ εξακολουθεί να βρίσκεται κάτω από το ραντάρ του Google Play Protect. Με μπερδεύει το γεγονός ότι ένας προγραμματιστής εφαρμογών με μια δημοφιλή εφαρμογή θα μπορούσε να τη μετατρέψει σε κακόβουλο λογισμικό. Ήταν το σχέδιο από την αρχή, να έχουμε μια αδρανή εφαρμογή, που θα περίμενε να εμφανιστεί μετά τη δημοτικότητά της; Υποθέτω ότι δεν θα μάθουμε ποτέ», ανέφερε η έκθεση των ερευνητών.
Πηγή: https://blog.malwarebytes.com/