Gandrīz desmit miljoni Android lietotāju ir inficēti ar populāro svītrkodu skenēšanas lietotni “Barcode Scanner” pēc tam, kad likumīgā lietojumprogramma tika sabojāta ar ļaunprogrammatūru. Programmatūras ļaunprātīgo darbību atklāja drošības uzņēmuma Malwarebytes pētnieki, kas par to ziņoja Google, kā rezultātā lietotne tika noņemta no lietotņu veikala.
Pagājušā gada decembra beigās pētnieki sāka saņemt ārkārtas zvanus no Android ierīču lietotājiem. Uzņēmums apgalvo, ka šie lietotāji savos noklusējuma pārlūkos no nekurienes redzēja uznirstošas reklāmas . Dīvainākais reklāmu epidēmijā bija tas, ka neviens no viņiem nesen nebija instalējis nevienu lietotni. Tomēr visas lietotnes, ko viņi bija instalējuši kopš tā laika, bija tieši no Google Play.
Uznirstošās reklāmas turpinājās, līdz viens no ļaunprātīgas programmatūras upuriem atklāja, ka reklāmas nāk no sen instalētas lietojumprogrammas ar nosaukumu Svītru kodu skeneris.
Pētnieki ātri pievienoja atklāšanas funkciju pēc tam, kad lietotājs par to ziņoja un Google noņēma lietotni no veikala . Daudzi lietotāji jau ilgu laiku bija izmantojuši lietotni savās mobilajās ierīcēs, tostarp viens lietotājs, kuram tā bija instalēta gadiem ilgi.
Pēc decembrī izlaistā atjauninājuma svītrkodu skenera lietotne no tā, kam tai vajadzēja būt — QR koda lasītāja un svītrkodu ģeneratora, noderīgas utilītas mobilajām ierīcēm — kļuva par pilnvērtīgu ļaunprogrammatūru. Lai gan Google kopš tā laika ir noņēmis lietotni, drošības uzņēmums uzskata, ka atjauninājums tika veikts 2020. gada 4. decembrī, mainot lietotnes funkcionalitāti, lai tā varētu sūtīt reklāmas bez brīdinājuma.
Lai gan daudzi izstrādātāji savā programmatūrā iekļauj reklāmas, lai piedāvātu bezmaksas versijas, un apmaksātajās lietojumprogrammās reklāma vienkārši netiek rādīta, pēdējos gados izmaiņas notika visu nakti. Noderīgas resursu lietojumprogrammas reklāmprogrammatūrai kļūst arvien izplatītākas.
“Reklāmas SDK var nākt no dažādiem trešo personu uzņēmumiem un būt ienākumu avots lietojumprogrammu izstrādātājam. Tā ir abpusēji izdevīga situācija, ”atzīmēja Malwarebytes. “Lietotāji saņem bezmaksas lietotni, savukārt lietotņu izstrādātāji un reklāmu SDK izstrādātāji saņem algu. Bet ik pa brīdim Ads SDK uzņēmums var kaut ko mainīt, un reklāmas var sākt kļūt nedaudz agresīvas.
Dažreiz trešās puses var iesaistīties "agresīvā" reklāmas praksē, taču tas neattiecas uz šo svītrkoda lasītāju. Tā vietā pētnieki apgalvo, ka ļaunprātīgais kods bija iekļauts decembra atjauninājumā un lielā mērā bija paslēpts, lai izvairītos no atklāšanas. Atjauninājums bija parakstīts arī ar to pašu drošības sertifikātu, kas tika izmantots iepriekšējās Android lietotnes versijās.
“Nē, svītrkodu skenera gadījumā tika pievienots ļaunprātīgs kods, kura nebija iepriekšējās lietojumprogrammas versijās. Arī pievienotajā kodā tika izmantots spēcīgs aizsmakums, lai izvairītos no atklāšanas. Lai pārbaudītu, vai to nāk no tā paša lietojumprogrammu izstrādātāja, mēs apstiprinājām, ka to ir parakstījis tāds pats digitālais sertifikāts kā iepriekšējās tīrās versijas ”.
Tas, ka Google ir noņēmis lietotni no Google Play, nenozīmē, ka tā pazudīs no skartajām ierīcēm . Tieši ar šo problēmu saskārās lietotāji, kuri instalēja svītrkodu skeneri. Lai to atrisinātu, lietotājiem manuāli jāatinstalē tagad ļaunprātīgā lietotne.
Pētnieki nespēja precīzi noteikt, cik ilgi svītrkoda lasītāja lietotne ir bijusi likumīga lietotne Google Play veikalā, pirms tā kļuva ļaunprātīga.
“Pamatojoties uz lielo instalēšanas reižu skaitu un lietotāju atsauksmēm, mēs uzskatām, ka tas pastāv jau vairākus gadus. Briesmīgi, ka tikai ar vienu atjauninājumu lietotne var kļūt ļaunprātīga, atrodoties zem Google Play Protect radara. Tas mani mulsina, ka lietotņu izstrādātājs ar populāru lietotni var to pārvērst par ļaunprātīgu programmatūru. Vai tas jau no paša sākuma bija plāns, ka lietojumprogramma ir dīkstāvē un gaidīja, kad ieradīsies pēc popularitātes sasniegšanas? Es domāju, ka mēs to nekad nezināsim, ”teikts izmeklētāju ziņojumā.
Avots: https://blog.malwarebytes.com/