Malver SMSVova opstao u Google Play prodavnici tri godine, i inficirao najmanje milion uređaja

Mobilni telefoni, 21.04.2017, 01:00 AM

Malver SMSVova opstao u Google Play prodavnici tri godine, i inficirao najmanje milion uređaja

Android aplikacija "System Update" koja sadrži spyware SMSVova, uspela je da opstane u Googleovoj prodavnici aplikacija Play najmanje tri godine, od 2014. kada je ažurirana poslednji put.

Google je intervenisao tek ove nedelje, kada ga je o aplikaciji obavestila firma Zscaler, ali aplikacija je uklonjena iz Play prodavnice prekasno - pošto ju je već preuzelo između milion i pet miliona korisnika koji su je instalirali na svojim telefonima.

Aplikacija je opstala u Play prodavnici uprkos tome što njena Play Store stranica izgleda izuzetno sumnjivo. Aplikacija je predstavljena jednim praznim screenshotom i jednom rečenicom u opisu koja objašnjava da "aplikacija ažurira i omogućava posebne funkcije lokacije".

I ocene korisnika ukazivale su na sumnjivo ponašanje aplikacije. Korisnici su se žalili da aplikacija nije ažurirala njihove sisteme kao što je obećavala, već je nestajala sa ekrana čim bi bila prvi put pokrenuta.

Stručnjaci firme Zscaler analizirali su izvorni kod sporne aplikacije i zaključili da aplikacija nema bilo kakve funkcije za ažuriranje sistema, već da se ponaša kao špijunski program.

Oni kažu da je u aplikaciji pronađen malver, koji je nazvan SMSVova i koji se kontroliše preko SMS poruka.

Malver SMSVova ima funkcionalnost koja uspostavlja Android servis i broadcast receiver.

Android servis uzima poslednje poznate koordinate korisnika i čuva ove informacije u "Shared Preferences", prostor za skladištenje gde Android obično prikuplja podatke aplikacije.

Sa druge strane, Android broadcast receiver je mesto gde se nalazi veći deo malicioznog koda. On čeka SMS poruke u kojima piše "vova-" ili "get faq". Napadač koji pošalje SMS sa komandom "get faq" inficiranom uređaju dobiće SMS sa spiskom komandi koje može izvršiti. Nove komande bi onda mogle biti poslate SMS porukama da prefiksom "vova-", npr.: vova-set user password:'newpassword'.

Aplikacija ima podršku za komande koje javljaju korisnikovu trenutnu lokaciju i menjaju lozinku uređaja.

Zašto SMSVova prikuplja samo informacije o lokaciji korisnika nije jasno, ali ove informacije mogu biti zlonamerno iskorišćene na različite načine.

Istraživači misle da bi SMSVova mogao biti rana verzija DroidJack RAT, jednog od najpoznatijih komercijalnih trojanaca za daljinski pristup na tržištu, koji se na hakerskim forumima pojavio u junu 2014. Istraživači Zscalera otkrili su i da SMSVova ima istu strukturu koda kao i mali deo DroidJack RAT.

Imajući u vidu da aplikacija System Update nije ažurirana od decembra prošle godine, kao i njenu sličnost sa DroidJack RAT, moguće je da je ona jedan od prvih pokušaja da DroidJack ili bar jedan njegov deo, prođe filtere Google Play prodavnice.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Sajber-kriminalci za skrivanje malvera koriste aplikacije iz popularnih kategorija

Sajber-kriminalci za skrivanje malvera koriste aplikacije iz popularnih kategorija

Uprkos Googleovim naporima da njegova prodavnica Android aplikacija bude bez malvera, maliciozne aplikacije i dalje nekako uspevaju da prođu proces p... Dalje

Aplikacija Signal ima bag koji omogućava prisluškivanje razgovora u okolini napadnutog uređaja

Aplikacija Signal ima bag koji omogućava prisluškivanje razgovora u okolini napadnutog uređaja

Skoro svaka aplikacija sadrži bezbednosne propuste, od kojih će neki možda biti otkriveni već danas, ali drugi će ostati nevidljivi dok ih neko n... Dalje

Otkriven bag u popularnim Googleovim i Samsung smart telefonima koji se aktivno koristi za napade

Otkriven bag u popularnim Googleovim i Samsung smart telefonima koji se aktivno koristi za napade

Googleova Grupa za analizu pretnji (TAG) otkrila je novi 0-day bag u Androidu koji se uveliko koristi za napade na ranjive pametne telefone - Google P... Dalje

Google najavio nove kontrole privatnosti za YouTube, Mape i Google pomoćnika

Google najavio nove kontrole privatnosti za YouTube, Mape i Google pomoćnika

Google je najavio nove funkcije za zaštitu privatnosti koje će korisnicima omogućiti veću sigurnost i veću kontrolu nad njihovim podacima koj... Dalje

WhatsApp će vam uskoro omogućiti da šaljete poruke koje se samouništavaju

WhatsApp će vam uskoro omogućiti da šaljete poruke koje se samouništavaju

WhatsApp radi na novoj funkciji koja će korisnicima omogućiti slanje samouništavajućih poruka. Ova funkcija je trenutno u fazi razvoja i primec... Dalje