Közel tízmillió Android-felhasználót fertőzött meg a népszerű vonalkódolvasó alkalmazás, a "Barcode Scanner", miután a legitim alkalmazást rosszindulatú program fertőzte meg. A szoftver rosszindulatú viselkedését a Malwarebytes biztonsági cég kutatói leplezték le, akik jelentették a Google-nek, aminek eredményeként az alkalmazást eltávolították az alkalmazásboltból.
Tavaly december végén a kutatók elkezdtek segélyhívásokat kapni Android-eszközök felhasználóitól. A cég szerint ezek a felhasználók a semmiből felugró hirdetéseket láttak az alapértelmezett böngészőjükben. A hirdetésjárvány legfurcsább része az volt, hogy egyikük sem telepített mostanában semmilyen alkalmazást. Azonban az azóta telepített összes alkalmazásuk közvetlenül a Google Playről származik.
Az előugró hirdetések addig folytatódtak, amíg az egyik rosszindulatú program áldozata felfedezte, hogy a hirdetések egy régóta telepített vonalkódolvasó alkalmazásból származnak.
A kutatók gyorsan hozzáadták az észlelést, miután egy felhasználó jelentette, és a Google eltávolította az alkalmazást az áruházból . Sok felhasználó már régóta használta az alkalmazást mobileszközén, köztük egy felhasználó, aki évek óta telepítve volt.
Egy decemberben kiadott frissítés után a Vonalkódolvasó alkalmazás a eredetileg QR-kód olvasó és vonalkód generátor, azaz hasznos segédprogram mobileszközökhöz eredetileg tervezett funkcióból teljes értékű kártevővé vált. Bár a Google azóta eltávolította az alkalmazást, a biztonsági cég úgy véli, hogy a frissítés 2020. december 4-én történt, és megváltoztatta az alkalmazás működését, így figyelmeztetés nélkül küldhet hirdetéseket.
Míg sok fejlesztő beépíti a reklámokat a szoftvereibe annak érdekében, hogy ingyenes verziókat kínáljon, és a fizetett alkalmazások egyszerűen nem jelenítenek meg hirdetéseket, az utóbbi években a változás egyik napról a másikra történt. A reklámprogramok hasznos erőforrás-alkalmazásai egyre gyakoribbak.
„A reklám SDK-k különböző, harmadik féltől származó vállalatoktól származhatnak, és bevételi forrást jelenthetnek az alkalmazás fejlesztője számára. Ez egy win-win helyzet ”- jegyezte meg Malwarebytes. „A felhasználók ingyenes alkalmazást kapnak, míg az alkalmazásfejlesztők és az SDK-fejlesztők fizetnek. De hébe-hóba egy Ads SDK vállalat változtathat valamit, és a hirdetések kissé agresszívakká válhatnak.
Előfordulhat, hogy harmadik felek „agresszív” hirdetési gyakorlatot folytatnak, de ez nem így van ennél a vonalkódolvasónál. A kutatók szerint ehelyett a rosszindulatú kód már a decemberi frissítésben is benne volt, és nagyrészt elrejtették, hogy elkerüljék az észlelést. A frissítést ugyanazzal a biztonsági tanúsítvánnyal írták alá, amelyet az Android alkalmazás korábbi verzióiban használtak.
„Nem, a Vonalkódolvasó esetében rosszindulatú kódot adtak hozzá, amely nem volt jelen az alkalmazás korábbi verzióiban. Ezenkívül a hozzáadott kód erőteljes elhomályosítást használt az észlelés elkerülése érdekében. Annak ellenőrzésére, hogy ugyanazon alkalmazás-fejlesztőtől származik-e, megerősítettük, hogy azt ugyanaz a digitális tanúsítvány írta alá, mint a korábbi tiszta verziókat. ”
Az a tény, hogy a Google eltávolította az alkalmazást a Google Playről, nem jelenti azt, hogy az eltűnik az érintett eszközökről . Pontosan ezt a problémát tapasztalták azok a felhasználók, akik telepítették a Vonalkódolvasót. A probléma megoldásához a felhasználóknak manuálisan kell eltávolítaniuk a most már kártékony alkalmazást.
A kutatók nem tudták pontosan meghatározni, hogy a vonalkódolvasó alkalmazás mennyi ideig volt jogos alkalmazás a Google Play áruházban, mielőtt rosszindulatúvá vált.
„A telepítések nagy száma és a felhasználói visszajelzések alapján úgy gondoljuk, hogy ez évek óta létezik. Félelmetes, hogy csak egy frissítéssel egy alkalmazás rosszindulatúvá válhat, miközben továbbra is a Google Play Protect radar alatt van. Elgondolkodtató, hogy egy népszerű alkalmazással rendelkező alkalmazásfejlesztő rosszindulatú programká alakíthatja. A kezdetektől fogva az volt a terv, hogy egy alkalmazás tétlen, várakozással tekint a népszerűség elérése után? Azt hiszem, soha nem fogjuk megtudni ”- áll a nyomozók jelentésében.
Forrás: https://blog.malwarebytes.com/