24 апреля 2013 г
В каталоге Google Play обнаружены приложения, распространяющие троянцев
Компания «Доктор Веб» сообщает о том, что в официальном каталоге Google Play были найдены 28 приложений, содержащих вредоносный рекламный модуль, способный загружать троянцев для мобильной платформы Android. Суммарное число установок этих программ, а, соответственно, и потенциальных жертв может достигать 5,3 млн.
Реклама в Android-приложениях уже давно и успешно применяется различными разработчиками для монетизации своих трудов. Тем не менее, предприимчивые киберпреступники еще в 2011 году решили использовать в своих целях возможности рекламных сетей для мобильных устройств, а именно распространять с их помощью троянские программы. Кроме того, в последнее время расширяется список вредоносных программ, распространяемых таким образом.
Хотя существующие рекламные сети для мобильных Android-устройств, такие как Google AdMob, Airpush, Startapp и пр., вполне успешно удовлетворяют потребности мошенников, последние решили пойти дальше и создали собственную рекламную платформу. На первый взгляд, она ничем не отличается от остальных: сеть предлагает Android-разработчикам заманчивые условия использования рекламного API, обещая высокий и стабильный доход, а также удобство управления и контроля учетных записей.
Как и во многих других Adware-модулях, для отображения рекламных сообщений в этом рекламном API используется push-метод, когда в панель состояния мобильного Android-устройства выводится то или иное информационное уведомление. Однако помимо заявленных функций данная платформа содержит ряд скрытых возможностей.
Так, в push-уведомлениях от мошенников может демонстрироваться информация о необходимости установки важного обновления для тех или иных приложений. В случае согласия на установку такого «обновления» рекламный модуль выполняет загрузку некоего apk-пакета и помещает его на карту памяти в каталог загрузок /mnt/sdcard/download. Этот модуль может также создать на главном экране мобильного устройства ярлык, связанный с только что загруженным ПО, и в дальнейшем при нажатии на этот ярлык будет инициирован процесс установки соответствующей ему программы.
Загружаемые таким образом apk-файлы являются представителями семейства троянских программ Android.SmsSend. Анализ позволил выявить источник загрузки данных троянцев: им оказались серверы, на IP-адресах которых зарегистрированы различные поддельные каталоги приложений. В частности, в трех проанализированных приложениях мошенническая рекламная платформа использует связь с управляющим сервером по адресу 188.130.xxx.xx, а в остальных двадцати пяти – связь осуществляется через управляющий сервер с адресом 91.226.xxx.xx. Данные адреса еще несколько дней назад были оперативно внесены в модуль Родительского контроля антивируса Dr.Web.
Особая опасность этого рекламного API заключается в том, что содержащие его приложения были обнаружены в официальном каталоге Google Play, который де-факто считается наиболее безопасным источником Android-программ. Из-за доверия к безопасности Google Play число установок пораженных программ весьма велико. Из-за ограничений, накладываемых Google на статистическую информацию о числе загрузок приложений, нельзя с абсолютной точностью назвать общее число потенциальных жертв, однако возможное число пострадавших может достигать более 5,3 млн пользователей. Это крупнейший и наиболее массовый со времен ввода антивирусной системы Google Bouncer случай заражения вредоносными приложениями, которые находились в каталоге Google Play.
Специалисты компании «Доктор Веб» отнесли данный модуль к adware-системам, созданным киберпреступниками именно для вредоносных целей. В антивирусные базы он внесен под именем Android.Androways.1.origin и не представляет угрозы для пользователей антивируса Dr.Web для Android.