Skoraj deset milijonov uporabnikov Androida se je okužilo s priljubljeno aplikacijo za skeniranje črtnih kod »Barcode Scanner«, potem ko je bila legitimna aplikacija poškodovana v zlonamerno programsko opremo. Zlonamerno delovanje programske opreme so razkrili raziskovalci varnostnega podjetja Malwarebytes, ki so ga prijavili Googlu, zaradi česar je bila aplikacija odstranjena iz trgovine z aplikacijami.
Konec lanskega decembra so raziskovalci začeli prejemati klice v stiski od uporabnikov naprav Android. Podjetje pravi, da so ti uporabniki v svojih privzetih brskalnikih opazovali oglase, ki so se pojavljali iznenada . Najbolj nenavadno pri epidemiji oglasov je bilo, da nihče od njih v zadnjem času ni namestil nobene aplikacije. Vendar pa so vse aplikacije, ki so jih namestili od takrat, prišle neposredno iz trgovine Google Play.
Pojavni oglasi so se nadaljevali, dokler ena od žrtev zlonamerne programske opreme ni odkrila, da oglasi prihajajo iz že nameščene aplikacije, imenovane Čitalnik črtne kode.
Raziskovalci so zaznavanje hitro dodali, potem ko ga je prijavil uporabnik, Google pa je aplikacijo odstranil iz trgovine . Mnogi uporabniki so aplikacijo na svojih mobilnih napravah uporabljali že dolgo časa, vključno z enim uporabnikom, ki jo je imel nameščeno že leta.
Po posodobitvi, izdani decembra , se je aplikacija Barcode Scanner iz pričakovanega bralnika QR kod in generatorja črtnih kod, uporabnega pripomočka za mobilne naprave, spremenila v pravo zlonamerno programsko opremo. Čeprav je Google aplikacijo od takrat odstranil, varnostno podjetje meni, da je bila posodobitev izvedena 4. decembra 2020 in je spremenila funkcionalnost aplikacije, tako da je pošiljala oglase brez opozorila.
Čeprav mnogi razvijalci v svojo programsko opremo vključujejo oglase, da bi ponujali brezplačne različice, plačljive aplikacije pa preprosto ne prikazujejo oglasov, se je v zadnjih letih sprememba zgodila čez noč. Uporabne programske aplikacije za oglaševalsko programsko opremo postajajo vse pogostejše.
»SDK za oglaševanje lahko prihajajo iz različnih tretjih podjetij in so vir zaslužka za razvijalce aplikacij. Gre za win-win situacijo, «je opozoril Malwarebytes. »Uporabniki dobijo brezplačno aplikacijo, razvijalci aplikacij in razvijalci oglasov SDK pa plačajo. Toda vsake toliko časa lahko podjetje Ads SDK nekaj spremeni in oglasi lahko začnejo postajati nekoliko agresivni.
Včasih se tretje osebe lahko lotijo "agresivnih" oglaševalskih praks, vendar to ne velja za ta bralnik črtnih kod. Raziskovalci pravijo, da je bila zlonamerna koda vključena v decembrsko posodobitev in je bila večinoma skrita, da bi se izognili odkritju. Posodobitev je bila podpisana tudi z istim varnostnim potrdilom, kot je bilo uporabljeno v prejšnjih različicah aplikacije za Android.
»Ne, v primeru optičnega bralnika črtne kode je bila dodana zlonamerna koda, ki je ni bilo v prejšnjih različicah aplikacije. Poleg tega je dodana koda uporabila močno zameglitev, da bi se izognili zaznavanju. Da bi preverili, ali prihaja od istega razvijalca aplikacije, smo potrdili, da je bila podpisana z istim digitalnim potrdilom kot prejšnje čiste različice. "
Dejstvo, da je Google aplikacijo odstranil iz trgovine Google Play, ne pomeni, da bo izginila iz prizadetih naprav . Prav to težavo so imeli uporabniki, ki so namestili skener črtnih kod. Da bi to rešili, morajo uporabniki ročno odstraniti zdaj zlonamerno aplikacijo.
Raziskovalci niso mogli natančno določiti, kako dolgo je bila aplikacija bralnika črtnih kod zakonita aplikacija v trgovini Google Play, preden je postala zlonamerna.
»Glede na veliko število namestitev in povratne informacije uporabnikov verjamemo, da obstaja že leta. Grozljivo je, da lahko aplikacija z eno samo posodobitvijo postane zlonamerna, medtem ko je še vedno pod radarjem Google Play Protect. Zmedeno me je, da ga lahko razvijalec aplikacije s priljubljeno aplikacijo spremeni v zlonamerno programsko opremo. Ali je bil načrt že od začetka, da se aplikacija počaka, da prispe po priljubljenosti? Mislim, da ne bomo nikoli izvedeli, «piše v poročilu preiskovalcev.
Vir: https://blog.malwarebytes.com/