Nästan tio miljoner Android-användare har infekterats av den populära streckkodsläsningsappen "Barcode Scanner" efter att den legitima appen korrumperats till skadlig kod. Programvarans skadliga beteende avslöjades av forskare på säkerhetsföretaget Malwarebytes, som rapporterade det till Google, vilket resulterade i att appen togs bort från appbutiken.
Det var i slutet av förra december som forskare började ta emot nödanrop från Android-användare. Företaget säger att dessa användare såg annonser som dök upp från ingenstans via sina standardwebbläsare. Det konstigaste med annonsepidemin var att ingen av dem hade installerat några appar nyligen. Men alla appar de hade installerat sedan dess kom direkt från Google Play.
Pop-up-annonser fortsatte tills ett av skadeprogrammet upptäckte att annonserna kom från ett långt installerat program som heter Barcode Scanner.
Forskare lade snabbt till detekteringen efter att en användare rapporterat den och Google tog bort appen från butiken . Många användare hade använt appen på sina mobila enheter under lång tid, inklusive en användare som hade den installerad i flera år.
Efter en uppdatering som släpptes i december gick Barcode Scanner-appen från vad den var tänkt att vara – en QR-kodläsare och streckkodsgenerator, ett användbart verktyg för mobila enheter – till fullskalig skadlig kod. Även om Google sedan dess har tagit bort appen, tror säkerhetsföretaget att uppdateringen inträffade den 4 december 2020, vilket ändrade appens funktionalitet för att skicka reklam utan förvarning.
Medan många utvecklare införlivar annonser i sin programvara för att kunna erbjuda gratisversioner, och betalda applikationer helt enkelt inte visar annonser, har förändringen inträffat över en natt under de senaste åren. Användbara resurstillämpningar för adware blir allt vanligare.
”Annonsering av SDK kan komma från olika tredjepartsföretag och vara en inkomstkälla för applikationsutvecklaren. Det är en vinn-vinn-situation, ”konstaterade Malwarebytes. ”Användare får en gratis app, medan apputvecklare och ad SDK-utvecklare får betalt. Men då och då kan ett Ads SDK-företag ändra något och annonserna kan börja bli lite aggressiva.
Ibland kan tredje parter använda "aggressiva" reklammetoder, men detta är inte fallet med denna streckkodsläsare. Istället säger forskare att den skadliga koden inkluderades i decemberuppdateringen och till stor del doldes för att undvika upptäckt. Uppdateringen signerades också med samma säkerhetscertifikat som användes i tidigare versioner av Android-appen.
”Nej, i fallet med streckkodsläsare lades till skadlig kod som inte fanns i tidigare versioner av applikationen. Den tillagda koden använde också stark förmörkelse för att undvika upptäckt. För att verifiera att den kommer från samma applikationsutvecklare bekräftade vi att den hade undertecknats av samma digitala certifikat som de tidigare rena versionerna ”.
Att Google har tagit bort appen från Google Play betyder inte att den kommer att försvinna från berörda enheter . Det är just detta problem som användare som installerade Barcode Scanner upplevt. För att lösa detta måste användarna manuellt avinstallera den nu skadliga appen.
Forskare kunde inte avgöra exakt hur länge streckkodsläsaren hade varit en legitim app i Google Play-butiken innan den blev skadlig.
”Baserat på det stora antalet installationer och användarfeedback tror vi att det har funnits i flera år. Det är skrämmande att med bara en uppdatering kan en app bli skadlig medan den fortfarande är under Google Play Protect-radaren. Det pussar mig att en apputvecklare med en populär app kan göra den till skadlig kod. Var det planen från början, att ha en applikation inaktiv, väntar på att anlända efter att ha nått popularitet? Jag antar att vi aldrig kommer att få veta det, säger utredarens rapport.
Källa: https://blog.malwarebytes.com/