Майже десять мільйонів користувачів Android заразилися популярним додатком для сканування штрих-кодів "Barcode Scanner" після того, як легітимний додаток було пошкоджено та заражено шкідливим програмним забезпеченням. Шкідливу поведінку програмного забезпечення виявили дослідники компанії з безпеки Malwarebytes, які повідомили про це Google, що призвело до видалення додатка з магазину додатків.
Наприкінці минулого грудня дослідники почали отримувати сигнали тривоги від користувачів пристроїв Android. Компанія стверджує, що ці користувачі бачили рекламу, що з’являлася нізвідки у своїх браузерах за замовчуванням. Найдивніше в епідемії реклами було те, що жоден з них нещодавно не встановлював жодних програм. Однак усі програми, які вони встановили з того часу, були встановлені безпосередньо з Google Play.
Спливаючі оголошення продовжувались доти, доки одна з жертв шкідливого програмного забезпечення не виявила, що реклама надходить із давно встановленої програми, яка називається Сканер штрих-коду.
Дослідники швидко додали цю функцію після того, як про неї повідомив користувач, і Google видалив застосунок з магазину . Багато користувачів використовували застосунок на своїх мобільних пристроях протягом тривалого часу, зокрема один користувач, у якого він був встановлений роками.
Після оновлення, випущеного в грудні , додаток Barcode Scanner перетворився з того, чим мав бути — зчитувачем QR-кодів та генератором штрих-кодів, корисною утилітою для мобільних пристроїв — на повноцінне шкідливе програмне забезпечення. Хоча Google з того часу видалив додаток, компанія з безпеки вважає, що оновлення відбулося 4 грудня 2020 року, що змінило функціональність додатка на надсилання реклами без попередження.
Хоча багато розробників включають рекламу в своє програмне забезпечення, щоб пропонувати безкоштовні версії, а платні програми просто не відображають рекламу, в останні роки зміни відбулися за одну ніч. Корисні ресурсні програми для рекламного ПЗ стають все більш і більш поширеними.
“Рекламні SDK можуть надходити від різних сторонніх компаній і бути джерелом доходу для розробника додатків. Це безпрограшна ситуація », - зазначив Malwarebytes. “Користувачі отримують безкоштовний додаток, а розробники додатків та розробники SDK для реклами отримують гроші. Але час від часу компанія Ads SDK може щось змінити, і реклама може почати ставати дещо агресивною.
Іноді треті сторони можуть використовувати «агресивну» рекламну практику, але це не стосується цього зчитувача штрих-кодів. Натомість, за словами дослідників, шкідливий код був включений до грудневого оновлення та був значною мірою прихований, щоб уникнути виявлення. Оновлення також було підписано тим самим сертифікатом безпеки, який використовувався в попередніх версіях програми для Android.
«Ні, у випадку зі сканером штрих-коду було додано зловмисний код, якого не було в попередніх версіях програми. Крім того, доданий код використовував сильну затуманення, щоб уникнути виявлення. Щоб перевірити, чи надходить він від того самого розробника програми, ми підтвердили, що він підписаний тим самим цифровим сертифікатом, що і попередні чисті версії ».
Той факт, що Google видалив додаток з Google Play, не означає, що він зникне з уражених пристроїв . Саме з такою проблемою стикалися користувачі, які встановили Barcode Scanner. Щоб вирішити цю проблему, користувачам потрібно вручну видалити тепер шкідливий додаток.
Дослідники не змогли точно визначити, як довго програма для зчитування штрих-кодів була законною програмою в магазині Google Play, перш ніж вона стала зловмисною.
“На основі великої кількості встановлень та відгуків користувачів ми вважаємо, що це існує роками. Страшно, що лише за допомогою одного оновлення програма може стати зловмисною, перебуваючи під радаром Google Play Protect. Мене бентежить, що розробник додатків із популярним додатком може перетворити його на шкідливе програмне забезпечення. Це був план із самого початку, щоб заявка не працювала, чекаючи прибуття після досягнення популярності? Гадаю, ми ніколи не дізнаємось », - йдеться у звіті слідчих.
Джерело: https://blog.malwarebytes.com/