Компания Sophos предупредила (https://news.sophos.com/en-us/2018/12/06/android-clickfraud-.../) пользователей о выявлении к каталоге Google Play 22 приложений для платформы Android, включающих вредоносный код, позволяющий скрыто загружать файлы и выполнять произвольные вредоносные модули на устройстве.
19 приложений были размещены в каталоге начиная с июня и сразу включали в себя вредоносный код. Три приложения, включая Sparkle Flashlight, насчитывающее более миллиона загрузок, изначально были легитимными, но получили вредоносный код в мартовском обновлении. Интегрированный вредоносный код (Andr/Clickr-ad) запускался автоматически после перезагрузки устройства и продолжал выполнение обособленно, независимо от открытия и закрытия приложений пользователем. Вредоносная активность контролировалась централизованно через запрос команд от управляющего сервера (использовался хост sdk.mobbt.com), с которого могла быть инициирована установка любых модулей на устройство. Команды запрашивались раз в 80 секунд.
На момент обнаружения проблемы на устройство загружался модуль для для накрутки кликов в рекламных сетях, который нагружал CPU и постоянно отправлял большой объём сетевых запросов. Списки ссылок для кликов загружались отдельно. Для скрытия от пользователя вредоносной активности рекламные блоки для кликов открывались в отдельном окне, размером 0 пикселей. Подобные манипуляции достаточно сильно нагружали CPU и снижали время автономной работы. При каждом переходе использовались 249 комбинации значений User Agent, характерные для разных версий программ и разных типов устройств.
После информирования Google проблемные программы были удалены из Google Play. Примечательно, что выявленные приложения пользовались популярностью (загружены в сумме более 2 млн копий) и имели преимущественно высокий рейтинг с преобладанием положительных отзывов пользователей. Судя по отзывам, пользователи не связывали возникающие из-за активности вредоносного кода аномалии с данными приложениями.
Проблемные приложения:
- AK Blackjack
- Animal Match
- Box Stack
- Color Tiles
- Cliff Diver
- HexaFall
- HexaBlocks
- Jelly Slice
- Join Up
- Just Flashlight
- Math Solver
- Magnifeye
- Neon Pong
- PairZap
- Roulette Mania
- Sparkle FlashLight
- Snake Attack
- ShapeSorter
- Space Rocket
- Tak A Trip
- Table Soccer
- Zombie Killer
Дополнительно можно упомянуть об ещё нескольких событиях, связанных с платформой Android:
- Опубликован (https://source.android.com/security/bulletin/2018-12-01) декабрьский набор исправлений проблем с безопасностью для Android, в котором устранены 53 уязвимости, из которых 29 выявлены в закрытых компонентах для чипов Qualcomm. 11 уязвимостям (2 в системных компонентах, 4 в Media framework, 5 в закрытых копонентах Qualcomm) присвоен критический уровень опасности, а остальным высокий уровень опасности. Большинство критических проблем позволяет совершить удалённую атаку для выполнения своего кода в системе (например, при обработке специально оформленных мультимедийных данных). Проблемы помеченные как опасные позволяют через манипуляции с локальными приложениями выполнить код в контексте привилегированного процесса.
- В поставляемом вместе со средой разработки Android Studio эмуляторе появилась (https://9to5google.com/2018/12/05/android-emulator-fuchsia-z.../) поддержка запуска (https://github.com/fuchsia-mirror/docs/blob/cd6bcf1da8b690f0...) ядра Zircon, используемого в развиваемой Google операционной системе Fuchsia (https://www.opennet.ru/opennews/art.shtml?num=48991). Также ведётся активная работа (https://android-review.googlesource.com/c/platform/external/...) по интеграции поддержки графического API Vulkan в Android Emulator, что в скором времени позволит запускать в эмуляторе и графические приложения для Fuchsia;
- В сервисах Google Play прекращена (https://android-developers.googleblog.com/2018/12/google-pla...) поддержка API версии 14 и 15, используемых в Android 4.0 (поддержка Android 4.1+ пока сохраняется). Отмечается что доля Android 4.0 (https://www.opennet.ru/opennews/art.shtml?num=32079) среди активных устройств составляет менее 1%.
URL: https://news.sophos.com/en-us/2018/12/06/android-clickfraud-.../
Новость: https://www.opennet.ru/opennews/art.shtml?num=49750
