Aplikacije inficirane adwareima HiddnAd i Guerilla uklonjene iz Play prodavnice

Mobilni telefoni, 30.03.2018, 01:30 AM

Google je uklonio 22 Android aplikacije za koje je rečeno da su zaražene adwareima HiddnAd i Guerilla. Oba adwarea otkrili su stručnjaci kompanije Sophos, jedan prošle nedelje, a drugi krajem januara.

Ne postoji veza između ova dva Android adwarea, a i svaki je radio na drugačiji način.

Prvi adware koji se pojavio je Guerilla, koga je istraživač Sophosa Čen Ju pronašao u 15 aplikacija objavljenih u Play prodavnici. Većina aplikacija su klonovi uspešnih aplikacija.

Sve aplikacije su bile u potpunosti funkcionalne i radile ono što su korisnici očekivali, ali su takođe isporučivane sa malicioznim programom Guerilla skrivenim u svom kodu.

Malver je nazvan Guerilla jer kako Ju kaže kod adwarea je funkcionisao kao backdoor, omogućavajući sajber kriminalcima da preuzmu i pokrenu bilo koju dodatnu komponentu. Kriminalci su mogli da preuzmu sve što su želeli, ali su umesto toga izabrali da preuzimaju dodatke koji su funkcionisali kao "agresivna funkcija za klik na oglase" koja je zarađivala za njih.

"Ovo se odvija u tajnosti, tako da korisnik aplikacije može i da ne primeti ovo ponašanje", kaže Ju naglašavajući da to sa klikovima na oglase jeste problem, ali da je stvarna opasnost to što Guerila može da daljinski isporuči payload modul preko svoje backdoor arhitekture.

"Korisnici aplikacija koje su u paketu sa oglasnom platformom kao što je Guerilla mogu biti držani kao taoci od strane onih koji kontrolišu C&C infrastrukturu", kaže Ju nagoveštavajući mogući scenario u kome su telefoni zaraženi Guerilla malverom mogli da se koriste za ucenjivanje korisnika i traženja otkupa.

Prošle nedelje isti istraživač je naleteo na drugi adware. Ju je otkrio HiddnAd, familiju adwarea sakrivenu u sedam aplikacija (šest čitača QR koda i aplikaciju pametni kompas), koje su takođe bile dostupne u Play prodavnici.

HiddnAd nije sofisticiran kao Guerilla. Umesto da otvara zadnja vrata na uređajima i omogući kriminalcima preuzimanje komponente po želji, oni su sakrili zlonamerni kod adwarea unutar "grafičke" podkomponente bezazlenog izgleda.

Aplikacije zaražene HiddnAdom su prošle Googleove bezbednosne provere, jer su šest sati posle instalacije odlagale izvršenje bilo kakvog zlonamernog koda, zaobilazeći Googleove skenere koji analiziraju ponašanje aplikacija.

Sophos nije objavio kompletnu listu aplikacija inficiranih ovim adwareima, ali su iz kompanije rekli da su u međuvremenu aplikacije uklonjene iz Play prodavnice. Stručnjaci Sophosa kažu da su najuspešnije od ovih aplikacija imale više od 500000 preuzimanja.