Malver SMSVova opstao u Google Play prodavnici tri godine, i inficirao najmanje milion uređaja

Mobilni telefoni, 21.04.2017, 01:00 AM

Malver SMSVova opstao u Google Play prodavnici tri godine, i inficirao najmanje milion uređaja

Android aplikacija "System Update" koja sadrži spyware SMSVova, uspela je da opstane u Googleovoj prodavnici aplikacija Play najmanje tri godine, od 2014. kada je ažurirana poslednji put.

Google je intervenisao tek ove nedelje, kada ga je o aplikaciji obavestila firma Zscaler, ali aplikacija je uklonjena iz Play prodavnice prekasno - pošto ju je već preuzelo između milion i pet miliona korisnika koji su je instalirali na svojim telefonima.

Aplikacija je opstala u Play prodavnici uprkos tome što njena Play Store stranica izgleda izuzetno sumnjivo. Aplikacija je predstavljena jednim praznim screenshotom i jednom rečenicom u opisu koja objašnjava da "aplikacija ažurira i omogućava posebne funkcije lokacije".

I ocene korisnika ukazivale su na sumnjivo ponašanje aplikacije. Korisnici su se žalili da aplikacija nije ažurirala njihove sisteme kao što je obećavala, već je nestajala sa ekrana čim bi bila prvi put pokrenuta.

Stručnjaci firme Zscaler analizirali su izvorni kod sporne aplikacije i zaključili da aplikacija nema bilo kakve funkcije za ažuriranje sistema, već da se ponaša kao špijunski program.

Oni kažu da je u aplikaciji pronađen malver, koji je nazvan SMSVova i koji se kontroliše preko SMS poruka.

Malver SMSVova ima funkcionalnost koja uspostavlja Android servis i broadcast receiver.

Android servis uzima poslednje poznate koordinate korisnika i čuva ove informacije u "Shared Preferences", prostor za skladištenje gde Android obično prikuplja podatke aplikacije.

Sa druge strane, Android broadcast receiver je mesto gde se nalazi veći deo malicioznog koda. On čeka SMS poruke u kojima piše "vova-" ili "get faq". Napadač koji pošalje SMS sa komandom "get faq" inficiranom uređaju dobiće SMS sa spiskom komandi koje može izvršiti. Nove komande bi onda mogle biti poslate SMS porukama da prefiksom "vova-", npr.: vova-set user password:'newpassword'.

Aplikacija ima podršku za komande koje javljaju korisnikovu trenutnu lokaciju i menjaju lozinku uređaja.

Zašto SMSVova prikuplja samo informacije o lokaciji korisnika nije jasno, ali ove informacije mogu biti zlonamerno iskorišćene na različite načine.

Istraživači misle da bi SMSVova mogao biti rana verzija DroidJack RAT, jednog od najpoznatijih komercijalnih trojanaca za daljinski pristup na tržištu, koji se na hakerskim forumima pojavio u junu 2014. Istraživači Zscalera otkrili su i da SMSVova ima istu strukturu koda kao i mali deo DroidJack RAT.

Imajući u vidu da aplikacija System Update nije ažurirana od decembra prošle godine, kao i njenu sličnost sa DroidJack RAT, moguće je da je ona jedan od prvih pokušaja da DroidJack ili bar jedan njegov deo, prođe filtere Google Play prodavnice.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Malver ForceGuide inficirao 2 miliona Android uređaja

Malver ForceGuide inficirao 2 miliona Android uređaja

Oko 600000 korisnika Androida inficiralo je svoje uređaje malverom koga su preuzeli iz zvanične Googleove prodavnice Play. Istraživači iz firme Ch... Dalje

Uber pratio korisnike iPhonea iako je to protiv Appleovih pravila

Uber pratio korisnike iPhonea iako je to protiv Appleovih pravila

Tim Kuk je navodno svojevremeno zapretio izvršnom direktou Ubera da će njihova aplikacija biti uklonjena iz Appleove prodavnice ako ne prestanu da n... Dalje

Android O će imati funkciju za borbu protiv ransomwarea

Android O će imati funkciju za borbu protiv ransomwarea

Operativni sistem Android ostaće bez funkcije koja je korišćena u napadima ransomwarea. Počev od Android O (8.0), koji bi trebalo da bude objavlje... Dalje

Malver SMSVova opstao u Google Play prodavnici tri godine, i inficirao najmanje milion uređaja

Malver SMSVova opstao u Google Play prodavnici tri godine, i inficirao najmanje milion uređaja

Android aplikacija "System Update" koja sadrži spyware SMSVova, uspela je da opstane u Googleovoj prodavnici aplikacija Play najmanje tri godine, od ... Dalje

Na Google Play pronađen bankarski trojanac BankBot

Na Google Play pronađen bankarski trojanac BankBot

Bezbednosni istraživač Nils Kroez, iz firme Securify B.V, otkrio je novu verziju poznatog Android bankarskog trojanca BankBot sakrivenu u aplikaciji... Dalje