Bijna tien miljoen Android-gebruikers zijn geïnfecteerd door de populaire barcode-scanapp "Barcode Scanner" nadat de legitieme applicatie was gemanipuleerd tot malware. Het schadelijke gedrag van de software werd ontdekt door onderzoekers van het beveiligingsbedrijf Malwarebytes, die het bij Google meldden, wat leidde tot de verwijdering van de app uit de App Store.
Eind december vorig jaar begonnen onderzoekers noodoproepen te ontvangen van gebruikers van Android-apparaten. Het bedrijf zegt dat deze gebruikers plotseling advertenties zagen verschijnen in hun standaardbrowsers. Het vreemdste aan deze advertentie-epidemie was dat geen van hen recent apps had geïnstalleerd. Alle apps die ze sindsdien hadden geïnstalleerd, waren echter rechtstreeks afkomstig uit de Google Play Store.
De pop-upadvertenties gingen door totdat een van de malwareslachtoffers ontdekte dat de advertenties afkomstig waren van een lang geïnstalleerde applicatie genaamd Barcode Scanner.
Onderzoekers voegden de detectie snel toe nadat een gebruiker het had gemeld en Google de app uit de store verwijderde . Veel gebruikers hadden de app al lange tijd op hun mobiele apparaten gebruikt, waaronder één gebruiker die hem al jaren had geïnstalleerd.
Na een update in december veranderde de Barcode Scanner-app van wat het bedoeld was als een QR-codelezer en barcodegenerator, een handig hulpmiddel voor mobiele apparaten, in volwaardige malware. Hoewel Google de app inmiddels heeft verwijderd, vermoedt het beveiligingsbedrijf dat de update op 4 december 2020 plaatsvond en de functionaliteit van de app veranderde, waardoor deze zonder waarschuwing advertenties verstuurde.
Hoewel veel ontwikkelaars advertenties in hun software opnemen om gratis versies aan te bieden, en betaalde apps gewoon geen advertenties weergeven, is de verandering de afgelopen jaren van de ene op de andere dag gebeurd. Nuttige bronapplicaties voor adware komen steeds vaker voor.
“Advertentie-SDK's kunnen afkomstig zijn van verschillende externe bedrijven en een bron van inkomsten zijn voor de applicatie-ontwikkelaar. Het is een win-winsituatie, ”merkte Malwarebytes op. “Gebruikers krijgen een gratis app, terwijl app-ontwikkelaars en advertentie-SDK-ontwikkelaars worden betaald. Maar af en toe kan een Ads SDK-bedrijf iets veranderen en kunnen de advertenties een beetje agressief worden.
Soms maken derden zich schuldig aan "agressieve" reclamepraktijken, maar dat is bij deze barcodelezer niet het geval. Onderzoekers stellen dat de kwaadaardige code in de update van december was opgenomen en grotendeels verborgen was om detectie te voorkomen. De update was bovendien ondertekend met hetzelfde beveiligingscertificaat als eerdere versies van de Android-app.
“Nee, in het geval van Barcode Scanner is kwaadaardige code toegevoegd die niet aanwezig was in eerdere versies van de applicatie. Ook gebruikte de toegevoegde code sterke verduistering om detectie te voorkomen. Om te verifiëren dat het afkomstig is van dezelfde applicatieontwikkelaar, hebben we bevestigd dat het is ondertekend met hetzelfde digitale certificaat als de vorige schone versies ”.
Het feit dat Google de app uit de Google Play Store heeft verwijderd, betekent niet dat deze ook van de getroffen apparaten verdwijnt . Dit is precies het probleem waar gebruikers die Barcode Scanner hebben geïnstalleerd tegenaan lopen. Om dit op te lossen, moeten gebruikers de inmiddels schadelijke app handmatig verwijderen.
Onderzoekers konden niet precies bepalen hoelang de barcodelezer-app een legitieme app in de Google Play Store was voordat deze kwaadaardig werd.
“Op basis van het grote aantal installaties en gebruikersfeedback, denken we dat het al jaren bestaat. Het is beangstigend dat een app met slechts één update schadelijk kan worden terwijl hij nog steeds onder de radar van Google Play Protect staat. Het verbaast me dat een app-ontwikkelaar met een populaire app er malware van kan maken. Was het vanaf het begin het plan om een applicatie inactief te hebben, wachtend om aan te komen nadat deze populair is geworden? Ik denk dat we het nooit zullen weten, ”aldus het onderzoeksrapport.
Bron: https://blog.malwarebytes.com/