כמעט עשרה מיליון משתמשי אנדרואיד נדבקו באפליקציית סריקת הברקודים הפופולרית "Barcode Scanner" לאחר שהאפליקציה הלגיטימית נפגעה לתוכנה זדונית. ההתנהגות הזדונית של התוכנה נחשפה על ידי חוקרים בחברת האבטחה Malwarebytes, שדיווחו על כך לגוגל, וכתוצאה מכך האפליקציה נסגרה מחנות האפליקציות.
בסוף דצמבר האחרון החלו חוקרים לקבל קריאות מצוקה ממשתמשי מכשירי אנדרואיד. החברה טוענת שמשתמשים אלה ראו פרסומות צצות משום מקום דרך דפדפני ברירת המחדל שלהם. הדבר המוזר ביותר במגפת הפרסומות היה שאף אחד מהם לא התקין אפליקציות לאחרונה. עם זאת, כל האפליקציות שהתקינו מאז הגיעו ישירות מ-Google Play.
המודעות הקופצות נמשכו עד שאחד מקורבנות התוכנות הזדוניות גילה שהמודעות מגיעות מיישום מותקן זה מכונה Barcode Scanner.
חוקרים הוסיפו במהירות את הזיהוי לאחר שמשתמש דיווח על כך וגוגל הסירה את האפליקציה מהחנות . משתמשים רבים השתמשו באפליקציה במכשירים הניידים שלהם במשך זמן רב, כולל משתמש אחד שהתקין אותה במשך שנים.
לאחר עדכון שיצא בדצמבר , אפליקציית Barcode Scanner הפכה ממה שהייתה אמורה להיות - קורא קודי QR ומחולל ברקודים, כלי שימושי למכשירים ניידים - לתוכנה זדונית במלואה. למרות שגוגל הסירה את האפליקציה מאז, חברת האבטחה מאמינה שהעדכון התרחש ב-4 בדצמבר 2020, מה ששינה את פונקציונליות האפליקציה לשליחת פרסומות ללא אזהרה.
בעוד מפתחים רבים משלבים פרסומות בתוכנה שלהם על מנת להציע גרסאות בחינם, ויישומים בתשלום פשוט אינם מציגים פרסומות, בשנים האחרונות, השינוי התרחש בן לילה. יישומי משאבים שימושיים לתוכנות פרסום הופכים נפוצים יותר ויותר.
"פרסום SDK יכול להגיע מחברות צד ג 'שונות ולהוות מקור הכנסה עבור מפתח היישומים. זה מצב של win-win, "ציין מלווארבייט. "משתמשים מקבלים אפליקציה בחינם, בעוד מפתחי אפליקציות ומפתחי SDK של מודעות מקבלים תשלום. אבל מדי פעם, חברת SDK של Ads עשויה לשנות משהו והמודעות יכולות להתחיל להיות קצת אגרסיביות.
לעיתים, צדדים שלישיים עשויים לעסוק בשיטות פרסום "אגרסיביות", אך זה לא המקרה עם קורא ברקודים זה. במקום זאת, חוקרים אומרים שהקוד הזדוני נכלל בעדכון דצמבר והוסתר ברובו כדי להימנע מגילוי. העדכון נחתם גם עם אותו אישור אבטחה ששימש בגרסאות קודמות של אפליקציית אנדרואיד.
"לא, במקרה של סורק ברקודים, התווסף קוד זדוני שלא היה קיים בגרסאות הקודמות של היישום. כמו כן, הקוד שנוסף השתמש בערפול חזק כדי למנוע זיהוי. כדי לוודא שהוא מגיע מאותו מפתח יישומים, אישרנו שהוא חתום על ידי אותה אישור דיגיטלי כמו הגרסאות הקודמות.
העובדה שגוגל הסירה את האפליקציה מגוגל פליי לא אומרת שהיא תיעלם מהמכשירים המושפעים . זוהי בדיוק הבעיה שחוו משתמשים שהתקינו את Barcode Scanner. כדי לפתור זאת, על המשתמשים להסיר ידנית את האפליקציה הזדונית.
החוקרים לא הצליחו לקבוע בדיוק כמה זמן אפליקציית קורא הברקודים הייתה אפליקציה לגיטימית בחנות Google Play לפני שהפכה לזדונית.
"בהתבסס על מספר ההתקנות הגדול ומשוב המשתמשים, אנו מאמינים שהוא קיים כבר שנים. זה מפחיד שעם עדכון אחד בלבד, אפליקציה עלולה להפוך לזדונית בזמן שהיא עדיין נמצאת מתחת לרדאר של Google Play Protect. מעניין אותי שמפתח אפליקציה עם אפליקציה פופולרית יכול להפוך אותה לתוכנה זדונית. האם הייתה זו התוכנית מההתחלה, שהאפליקציה תהיה בטלה, מחכה להגיע לאחר שהגיע לפופולריות? אני מניח שלעולם לא נדע ", נכתב בדו"ח החוקרים.
מקור: https://blog.malwarebytes.com/