Lähes kymmenen miljoonaa Android-käyttäjää on saanut tartunnan suositusta viivakoodinlukijasovelluksesta "Barcode Scanner" sen jälkeen, kun laillinen sovellus on korruptoitunut haittaohjelmaksi. Tietoturvayritys Malwarebytesin tutkijat paljastivat ohjelmiston haitallisen toiminnan ja ilmoittivat siitä Googlelle, minkä seurauksena sovellus poistettiin sovelluskaupasta.
Tutkijat alkoivat saada hätäpuheluita Android-laitteiden käyttäjiltä viime joulukuun lopulla . Yrityksen mukaan nämä käyttäjät näkivät mainoksia, jotka ponnahtivat tyhjästä oletusselaimissaan . Mainosepidemian omituisinta oli, että kukaan heistä ei ollut asentanut sovelluksia viime aikoina. Kaikki heidän sen jälkeen asentamansa sovellukset olivat kuitenkin peräisin suoraan Google Playsta.
Ponnahdusikkunoita jatkettiin, kunnes yksi haittaohjelmien uhreista huomasi, että mainokset olivat peräisin pitkään asennetusta sovelluksesta nimeltä Barcode Scanner.
Tutkijat lisäsivät tunnistuksen nopeasti käyttäjän ilmoitettua siitä ja Googlen poistettua sovelluksen kaupasta . Monet käyttäjät olivat käyttäneet sovellusta mobiililaitteillaan pitkään, mukaan lukien yksi käyttäjä, jolla se oli ollut asennettuna vuosia.
Joulukuussa julkaistun päivityksen jälkeen viivakoodinlukijasovellus muuttui alun perin tarkoitetusta QR-koodinlukijasta ja viivakoodigeneraattorista, hyödyllisestä mobiililaitteiden apuohjelmasta, täysimittaiseksi haittaohjelmaksi. Vaikka Google on sittemmin poistanut sovelluksen, tietoturvayritys uskoo, että päivitys tapahtui 4. joulukuuta 2020 ja että se muutti sovelluksen toiminnallisuutta lähettämällä mainoksia ilman varoitusta.
Vaikka monet kehittäjät sisällyttävät mainoksia ohjelmistoihinsa tarjotakseen ilmaisia versioita, ja maksulliset sovellukset eivät yksinkertaisesti näytä mainoksia, viime vuosina muutos on tapahtunut yhdessä yössä. Mainosohjelmien hyödylliset resurssisovellukset ovat yleistymässä.
”SDK-mainonta voi tulla useilta kolmansien osapuolten yrityksiltä ja olla tulonlähde sovelluskehittäjälle. Se on win-win-tilanne ”, Malwarebytes totesi. "Käyttäjät saavat ilmaisen sovelluksen, kun taas sovelluskehittäjät ja mainosten SDK-kehittäjät saavat maksun. Mutta silloin tällöin Ads SDK -yritys voi muuttaa jotain ja mainokset voivat alkaa olla hieman aggressiivisia.
Joskus kolmannet osapuolet saattavat harjoittaa "aggressiivista" mainontaa, mutta näin ei ole tämän viivakoodinlukijan tapauksessa. Tutkijoiden mukaan haitallinen koodi sen sijaan sisältyi joulukuun päivitykseen ja oli suurelta osin piilotettu havaitsemisen välttämiseksi. Päivitys oli myös allekirjoitettu samalla suojaussertifikaatilla, jota käytettiin Android-sovelluksen aiemmissa versioissa.
"Ei, viivakoodiskannerin tapauksessa lisättiin haitallinen koodi, jota ei ollut sovelluksen aiemmissa versioissa. Lisätty koodi käytti myös voimakasta hämärtymistä havaitsemisen välttämiseksi. Vahvistamme, että se tulee samalta sovelluskehittäjältä, vahvistimme, että sen on allekirjoittanut sama digitaalinen varmenne kuin edelliset puhtaat versiot.
Se, että Google on poistanut sovelluksen Google Playsta, ei tarkoita, että se katoaisi myös kyseisiltä laitteilta . Juuri tämän ongelman kokivat käyttäjät, jotka asensivat viivakoodiskannerin. Tämän ratkaisemiseksi käyttäjien on poistettava nyt haitallinen sovellus manuaalisesti.
Tutkijat eivät pystyneet selvittämään tarkalleen, kuinka kauan viivakoodilukijasovellus oli ollut laillinen sovellus Google Play -kaupassa, ennen kuin siitä tuli haitallinen.
"Asennusten suuren määrän ja käyttäjien palautteen perusteella uskomme, että se on ollut olemassa jo vuosia. On pelottavaa, että vain yhdellä päivityksellä sovellus voi muuttua haitalliseksi ollessaan edelleen Google Play Protect -tutkan alla. Minua hämmentää, että sovelluskehittäjä, jolla on suosittu sovellus, voi muuttaa sen haittaohjelmaksi. Oliko se alun perin suunnitelma, että sovellus olisi tyhjäkäynnillä, odottaen saapumista suosion saavuttamisen jälkeen? Luulen, että emme koskaan tiedä sitä ”, tutkijoiden kertomuksessa todetaan.
Lähde: https://blog.malwarebytes.com/