Peaaegu kümme miljonit Androidi kasutajat on nakatunud populaarse vöötkoodide skaneerimise rakendusega "Barcode Scanner" pärast seda, kui seaduslik rakendus rikuti pahavaraks. Tarkvara pahatahtliku käitumise paljastasid turvafirma Malwarebytes teadlased, kes teatasid sellest Google'ile, mille tulemusel rakendus rakenduste poest eemaldati.
Eelmise aasta detsembri lõpus hakkasid teadlased saama Android-seadmete kasutajatelt hädaabikõnesid. Ettevõtte sõnul nägid need kasutajad oma vaikebrauserite kaudu eikusagilt hüppavaid reklaame . Reklaamiepideemia kõige kummalisem osa oli see, et keegi neist polnud hiljuti ühtegi rakendust installinud. Kõik rakendused, mis nad pärast seda olid installinud, pärinesid aga otse Google Playst.
Hüpikreklaamid jätkusid seni, kuni üks pahavara ohvritest avastas, et reklaamid pärinevad kaua installitud rakendusest nimega Triipkoodiskanner.
Teadlased lisasid tuvastuse kiiresti pärast seda, kui kasutaja sellest teatas ja Google rakenduse poest eemaldas . Paljud kasutajad olid rakendust oma mobiilseadmetes pikka aega kasutanud, sealhulgas üks kasutaja, kellel oli see aastaid installitud.
Pärast detsembris avaldatud värskendust muutus vöötkoodiskanneri rakendus algselt QR-koodi lugejast ja vöötkoodigeneraatorist, mis on kasulik utiliit mobiilseadmetele, täieõiguslikuks pahavaraks. Kuigi Google on rakenduse sellest ajast eemaldanud, usub turvafirma, et värskendus toimus 4. detsembril 2020 ja muutis rakenduse funktsionaalsust nii, et see saatis reklaame ilma hoiatuseta.
Kui paljud arendajad lisavad tasuta versioonide pakkumiseks reklaamid oma tarkvarasse ja tasulised rakendused lihtsalt reklaame ei kuva, siis viimastel aastatel on muudatus toimunud üleöö. Reklaamvara jaoks on kasulikud ressursirakendused üha tavalisemad.
„SDK-de reklaamid võivad pärineda erinevatest kolmandatest ettevõtetest ja olla rakenduste arendajale sissetulekuallikaks. See on olukord, kus võidavad kõik, ”märkis Malwarebytes. „Kasutajad saavad tasuta rakenduse, samal ajal kui rakenduste arendajad ja SDK reklaamiarendajad saavad palka. Kuid aeg-ajalt võib Ads SDK ettevõte midagi muuta ja reklaamid võivad hakata natuke agressiivseks muutuma.
Mõnikord võivad kolmandad osapooled kasutada "agressiivseid" reklaamipraktikaid, kuid selle vöötkoodilugeja puhul see nii ei ole. Selle asemel väidavad teadlased, et pahatahtlik kood oli juba detsembrikuu värskenduses ja see oli avastamise vältimiseks suures osas peidetud. Värskendus oli allkirjastatud sama turvasertifikaadiga, mida kasutati Androidi rakenduse eelmistes versioonides.
"Ei, vöötkoodiskänneri puhul lisati pahatahtlik kood, mida rakenduse eelmistes versioonides ei olnud. Samuti kasutas lisatud kood tuvastamise vältimiseks tugevat segadust. Kontrollimaks, et see pärineb samalt rakenduse arendajalt, kinnitasime, et sellele on alla kirjutanud sama digitaalne sert nagu eelmistele puhtatele versioonidele.
Asjaolu, et Google on rakenduse Google Playst eemaldanud, ei tähenda, et see kaob ka mõjutatud seadmetest . Just seda probleemi kogesid kasutajad, kes installisid vöötkoodiskanneri. Selle lahendamiseks peavad kasutajad nüüdseks pahatahtliku rakenduse käsitsi desinstallima.
Teadlased ei suutnud täpselt kindlaks teha, kui kaua vöötkoodilugeja rakendus oli Google Play poes seaduslik rakendus, enne kui see pahatahtlikuks muutus.
„Suurel arvul installimiste ja kasutajate tagasiside põhjal usume, et see on kestnud juba aastaid. On kohutav, et vaid ühe värskenduse abil võib rakendus muutuda pahatahtlikuks, olles samal ajal Google Play Protecti radari all. Mind hämmeldab see, et populaarse rakendusega arendaja võib selle muuta pahavaraks. Kas see oli algusest peale plaan, et rakendus oleks tegevusetu ja ootaks saabumist pärast populaarsuse saavutamist? Me ei saa seda vist kunagi teada, ”seisis uurijate aruandes.
Allikas: https://blog.malwarebytes.com/