Prawie dziesięć milionów użytkowników Androida zostało zainfekowanych popularną aplikacją do skanowania kodów kreskowych „Barcode Scanner” po tym, jak legalna aplikacja została zainfekowana złośliwym oprogramowaniem. Złośliwe zachowanie oprogramowania zostało ujawnione przez badaczy z firmy zajmującej się bezpieczeństwem Malwarebytes, którzy zgłosili je do Google, co doprowadziło do usunięcia aplikacji ze sklepu z aplikacjami.
Pod koniec grudnia ubiegłego roku badacze zaczęli otrzymywać sygnały alarmowe od użytkowników urządzeń z Androidem. Firma twierdzi, że użytkownicy ci widzieli reklamy wyskakujące znikąd w ich domyślnych przeglądarkach. Najdziwniejsze w tej epidemii reklam było to, że żaden z nich nie instalował ostatnio żadnych aplikacji. Jednak wszystkie aplikacje zainstalowane od tego czasu pochodziły bezpośrednio z Google Play.
Wyskakujące reklamy trwały, dopóki jedna z ofiar szkodliwego oprogramowania nie odkryła, że pochodziły one z długo zainstalowanej aplikacji o nazwie Barcode Scanner.
Badacze szybko dodali wykrycie po tym, jak użytkownik je zgłosił, a Google usunęło aplikację ze sklepu . Wielu użytkowników korzystało z tej aplikacji na swoich urządzeniach mobilnych od dawna, w tym jeden użytkownik, który miał ją zainstalowaną od lat.
Po aktualizacji wydanej w grudniu , aplikacja Barcode Scanner przestała być tym, czym powinna być – oferując czytnik kodów QR i generator kodów kreskowych, przydatne narzędzie dla urządzeń mobilnych – a stała się pełnoprawnym złośliwym oprogramowaniem. Chociaż Google usunęło aplikację, firma zajmująca się bezpieczeństwem uważa, że aktualizacja nastąpiła 4 grudnia 2020 roku, zmieniając funkcjonalność aplikacji i umożliwiając wysyłanie reklam bez ostrzeżenia.
Podczas gdy wielu programistów włącza reklamy do swojego oprogramowania, aby oferować bezpłatne wersje, a płatne aplikacje po prostu nie wyświetlają reklam, w ostatnich latach zmiana nastąpiła z dnia na dzień. Przydatne aplikacje zasobów dla oprogramowania reklamowego stają się coraz bardziej popularne.
„Pakiety SDK reklam mogą pochodzić od różnych firm zewnętrznych i stanowić źródło dochodu dla twórców aplikacji. To sytuacja korzystna dla obu stron ”- zauważa Malwarebytes. „Użytkownicy otrzymują bezpłatną aplikację, a programiści aplikacji i programiści pakietów SDK otrzymują zapłatę. Ale od czasu do czasu firma Ads SDK może coś zmienić, a reklamy mogą stać się nieco agresywne.
Czasami osoby trzecie mogą stosować „agresywne” praktyki reklamowe, ale nie dotyczy to tego czytnika kodów kreskowych. Naukowcy twierdzą, że złośliwy kod został dodany do grudniowej aktualizacji i był w dużej mierze ukryty, aby uniknąć wykrycia. Aktualizacja została również podpisana tym samym certyfikatem bezpieczeństwa, co poprzednie wersje aplikacji na Androida.
„Nie, w przypadku skanera kodów kreskowych dodano złośliwy kod, którego nie było w poprzednich wersjach aplikacji. Ponadto w dodanym kodzie zastosowano silne zaciemnianie, aby uniknąć wykrycia. Aby sprawdzić, czy pochodzi od tego samego twórcy aplikacji, potwierdziliśmy, że został podpisany tym samym certyfikatem cyfrowym, co poprzednie czyste wersje ”.
Fakt, że Google usunęło aplikację z Google Play, nie oznacza, że zniknie ona z zainfekowanych urządzeń . Właśnie z tym problemem borykają się użytkownicy, którzy zainstalowali Barcode Scanner. Aby go rozwiązać, użytkownicy muszą ręcznie odinstalować tę złośliwą aplikację.
Badacze nie byli w stanie dokładnie określić, jak długo aplikacja czytnika kodów kreskowych była legalną aplikacją w sklepie Google Play, zanim stała się złośliwa.
„Biorąc pod uwagę dużą liczbę instalacji i opinie użytkowników, uważamy, że istnieje już od lat. To przerażające, że po jednej aktualizacji aplikacja może stać się złośliwa, a jednocześnie znajduje się pod radarem Google Play Protect. Zastanawia mnie, że twórca aplikacji, który ma popularną aplikację, może przekształcić ją w złośliwe oprogramowanie. Czy od początku był to plan, aby aplikacja była bezczynna, czekająca na przybycie po osiągnięciu popularności? Myślę, że nigdy się nie dowiemy ”- głosi raport śledczych.
Źródło: https://blog.malwarebytes.com/