Malver SMSVova opstao u Google Play prodavnici tri godine, i inficirao najmanje milion uređaja

Mobilni telefoni, 21.04.2017, 01:00 AM

Malver SMSVova opstao u Google Play prodavnici tri godine, i inficirao najmanje milion uređaja

Android aplikacija "System Update" koja sadrži spyware SMSVova, uspela je da opstane u Googleovoj prodavnici aplikacija Play najmanje tri godine, od 2014. kada je ažurirana poslednji put.

Google je intervenisao tek ove nedelje, kada ga je o aplikaciji obavestila firma Zscaler, ali aplikacija je uklonjena iz Play prodavnice prekasno - pošto ju je već preuzelo između milion i pet miliona korisnika koji su je instalirali na svojim telefonima.

Aplikacija je opstala u Play prodavnici uprkos tome što njena Play Store stranica izgleda izuzetno sumnjivo. Aplikacija je predstavljena jednim praznim screenshotom i jednom rečenicom u opisu koja objašnjava da "aplikacija ažurira i omogućava posebne funkcije lokacije".

I ocene korisnika ukazivale su na sumnjivo ponašanje aplikacije. Korisnici su se žalili da aplikacija nije ažurirala njihove sisteme kao što je obećavala, već je nestajala sa ekrana čim bi bila prvi put pokrenuta.

Stručnjaci firme Zscaler analizirali su izvorni kod sporne aplikacije i zaključili da aplikacija nema bilo kakve funkcije za ažuriranje sistema, već da se ponaša kao špijunski program.

Oni kažu da je u aplikaciji pronađen malver, koji je nazvan SMSVova i koji se kontroliše preko SMS poruka.

Malver SMSVova ima funkcionalnost koja uspostavlja Android servis i broadcast receiver.

Android servis uzima poslednje poznate koordinate korisnika i čuva ove informacije u "Shared Preferences", prostor za skladištenje gde Android obično prikuplja podatke aplikacije.

Sa druge strane, Android broadcast receiver je mesto gde se nalazi veći deo malicioznog koda. On čeka SMS poruke u kojima piše "vova-" ili "get faq". Napadač koji pošalje SMS sa komandom "get faq" inficiranom uređaju dobiće SMS sa spiskom komandi koje može izvršiti. Nove komande bi onda mogle biti poslate SMS porukama da prefiksom "vova-", npr.: vova-set user password:'newpassword'.

Aplikacija ima podršku za komande koje javljaju korisnikovu trenutnu lokaciju i menjaju lozinku uređaja.

Zašto SMSVova prikuplja samo informacije o lokaciji korisnika nije jasno, ali ove informacije mogu biti zlonamerno iskorišćene na različite načine.

Istraživači misle da bi SMSVova mogao biti rana verzija DroidJack RAT, jednog od najpoznatijih komercijalnih trojanaca za daljinski pristup na tržištu, koji se na hakerskim forumima pojavio u junu 2014. Istraživači Zscalera otkrili su i da SMSVova ima istu strukturu koda kao i mali deo DroidJack RAT.

Imajući u vidu da aplikacija System Update nije ažurirana od decembra prošle godine, kao i njenu sličnost sa DroidJack RAT, moguće je da je ona jedan od prvih pokušaja da DroidJack ili bar jedan njegov deo, prođe filtere Google Play prodavnice.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Popularne video aplikacije funkcionišu kao špijunski softver

Popularne video aplikacije funkcionišu kao špijunski softver

Istraživači iz VPNpro otkrili su da poznata aplikacija VivaVideo dostupna na Androidu i iOS-u, koja ima preko 100 miliona instalacija samo u Googleo... Dalje

Prevaranti nude lažnu mobilnu verziju popularne igre Valorant

Prevaranti nude lažnu mobilnu verziju popularne igre Valorant

Faza zatvorenog beta testiranja željno očekivane FPS (First-person shooter) igre Valorant je juče završena, a za to vreme distribuira se lažna mo... Dalje

Android ima novu ranjivost zbog koje je više od milijardu pametnih telefona podložno napadima

Android ima novu ranjivost zbog koje je više od milijardu pametnih telefona podložno napadima

Sećate li se Strandhogga? Reč je o ranjivosti Androida koju zlonamerne aplikacije mogu iskoristiti da se maskiraju u neku drugu aplikaciju instalir... Dalje

FBI uspeo da otključa dva iPhonea teroriste, sada kritikuje Apple zato što nije pomogao

FBI uspeo da otključa dva iPhonea teroriste, sada kritikuje Apple zato što nije pomogao

FBI je uspeo da hakuje dva iPhonea Mohameda Alšamranija, pripadnika ratnog vazduhoplovstva Saudijske Arabije koji je bio na obuci u SAD a koji je odg... Dalje

Trojanac WolfRAT špijunira aplikacije WhatsApp i Facebook Messenger na Android uređajima

Trojanac WolfRAT špijunira aplikacije WhatsApp i Facebook Messenger na Android uređajima

Istraživači Cisco Talosa otkrili su novog trojanca koji cilja tajlandske korisnike aplikacija WhatsApp, Facebook Messenger i Line na Android mobilno... Dalje