Quasi dieci milioni di utenti Android sono stati infettati dalla popolare app per la scansione di codici a barre "Barcode Scanner", dopo che l'applicazione legittima è stata trasformata in malware. Il comportamento dannoso del software è stato scoperto dai ricercatori della società di sicurezza Malwarebytes, che lo hanno segnalato a Google, portando alla rimozione dell'app dall'App Store.
Alla fine dello scorso dicembre, i ricercatori hanno iniziato a ricevere segnalazioni di problemi da parte di utenti di dispositivi Android. L'azienda afferma che questi utenti vedevano comparire annunci pubblicitari improvvisamente nei loro browser predefiniti. La cosa più strana di questa epidemia di annunci era che nessuno di loro aveva installato nuove app di recente. Tuttavia, tutte le app installate da allora provenivano direttamente da Google Play.
Gli annunci pop-up continuarono fino a quando una delle vittime del malware non scoprì che gli annunci provenivano da un'applicazione installata da tempo chiamata Barcode Scanner.
I ricercatori hanno rapidamente aggiunto la funzione di rilevamento dopo la segnalazione di un utente e Google ha rimosso l'app dallo store . Molti utenti utilizzavano l'app sui propri dispositivi mobili da molto tempo, incluso un utente che l'aveva installata da anni.
Dopo un aggiornamento rilasciato a dicembre , l'app Barcode Scanner si è trasformata da quello che doveva essere – un lettore di codici QR e generatore di codici a barre, un'utile utility per dispositivi mobili – in un vero e proprio malware. Sebbene Google abbia successivamente rimosso l'app, l'azienda di sicurezza ritiene che l'aggiornamento, avvenuto il 4 dicembre 2020, abbia modificato la funzionalità dell'app in modo da inviare annunci pubblicitari senza preavviso.
Mentre molti sviluppatori incorporano annunci pubblicitari nel loro software per offrire versioni gratuite e le applicazioni a pagamento semplicemente non visualizzano annunci pubblicitari, negli ultimi anni il cambiamento è avvenuto dall'oggi al domani. Le applicazioni di risorse utili per adware stanno diventando sempre più comuni.
"Gli SDK pubblicitari possono provenire da varie società di terze parti ed essere una fonte di reddito per lo sviluppatore dell'applicazione. È una situazione vantaggiosa per tutti ", ha osservato Malwarebytes. "Gli utenti ottengono un'app gratuita, mentre gli sviluppatori di app e gli sviluppatori di SDK degli annunci vengono pagati. Ma ogni tanto un'azienda di SDK per gli annunci potrebbe cambiare qualcosa e gli annunci possono iniziare a diventare un po 'aggressivi.
A volte, terze parti possono adottare pratiche pubblicitarie "aggressive", ma non è questo il caso di questo lettore di codici a barre. I ricercatori affermano invece che il codice dannoso è stato incluso nell'aggiornamento di dicembre ed era in gran parte nascosto per eludere il rilevamento. L'aggiornamento era inoltre firmato con lo stesso certificato di sicurezza utilizzato nelle versioni precedenti dell'app Android.
“No, nel caso di Barcode Scanner, è stato aggiunto codice dannoso che non era presente nelle versioni precedenti dell'applicazione. Inoltre, il codice aggiunto utilizzava un forte offuscamento per evitare il rilevamento. Per verificare che provenga dallo stesso sviluppatore dell'applicazione, abbiamo confermato che era stato firmato con lo stesso certificato digitale delle precedenti versioni pulite ”.
Il fatto che Google abbia rimosso l'app da Google Play non significa che scomparirà dai dispositivi interessati . Questo è proprio il problema riscontrato dagli utenti che hanno installato Barcode Scanner. Per risolverlo, gli utenti devono disinstallare manualmente l'app, ora considerata dannosa.
I ricercatori non sono stati in grado di determinare esattamente per quanto tempo l'app del lettore di codici a barre è stata un'app legittima sul Google Play Store prima che diventasse dannosa.
"Sulla base del gran numero di installazioni e del feedback degli utenti, riteniamo che sia in circolazione da anni. È terrificante che con un solo aggiornamento un'app possa diventare dannosa pur essendo sotto il radar di Google Play Protect. Mi lascia perplesso il fatto che uno sviluppatore di app con un'app popolare possa trasformarla in malware. Era il piano fin dall'inizio, avere un'applicazione inattiva, in attesa di arrivare dopo aver raggiunto la popolarità? Immagino che non lo sapremo mai ", ha detto il rapporto degli investigatori.
Fonte: https://blog.malwarebytes.com/