Złośliwe aplikacje w Google Play, wieloetapowe ataki poza radarami

Korzystanie ze zamkniętego sklepu z aplikacjami, który kontrolowany jest przez producenta systemu operacyjnego, miało być remedium na zagrożenia. Użytkownicy mieli instalować wyłącznie sprawdzone aplikacje, które byłyby pozbawionego złośliwego kodu. Praktyka pokazuje, że spełnienie tych założeń nie jest tak proste jakby mogło się wydawać. W Google Play ponownie pojawiły się złośliwe aplikacje.

ESET wykrył nowe zagrożenie w oficjalnym sklepie z aplikacjami Androida. Do Google Play trafił kolejny zestaw aplikacji, które tworzoną nową rodzinę szkodliwego oprogramowania. Wyglądają jak normalne, zdrowe aplikacje, ale po ich zainstalowaniu, rozpocznie się proces zarażania urządzenia z Androidem.

W Google Play odkrytych zostało 8 niebezpiecznych aplikacji. Google zostało powiadomione o zagrożeniu i sprawnie usunęło zgłoszone aplikacje. Ponadto użytkownicy korzystający z mechanizmu Google Play Protect mieli być bezpieczni. Aplikacje nie osiągnęły dużej ilości pobrań. Żadna nie zdobyła więcej niż kilkaset pobrań. Nie można jednak mówić o dobrych informacjach. Złośliwe aplikacje jednak trafiły do Google Play, przechodząc przez zabezpieczenia. Podobnych prób wprowadzenia szkodliwego kodu do oficjalnego sklepu Play z pewnością będzie więcej.

Twórcy w celu uniknięcia mechanizmów detekcji stosowanych przez Google, zdecydowali się odpowiednio przystosować złośliwe aplikacje. Wykorzystali wieloetapową architekturę oraz szyfrowanie, co pozwoliło pozostać oprogramowaniu poza radarem. Dodatkowo aplikacje zostały w ten sposób zaprojektowanie, by nie wzbudzić podejrzeń nawet bardziej czujnego użytkownika: po zainstalowaniu nie żądają podejrzanych uprawnień oraz starają się wykonywać zadania przedstawione w opisie w Google Play.

Aplikacja nie wzbudzając podejrzeń, może spokojnie wykonywać inne zadanie w ukryciu. Wcześniej zaszyfrowany złośliwy kod, zostaje odszyfrowany, rozpoczynając pierwszą fazę ataku. Uwolniony kod, uruchamia drugi etap, pobierając złośliwy ładunek – drugą aplikację – i po około 5 minutach użytkownik proszony jest o akceptację jej instalacji, co prowadzi do trzeciego etapu. Oczywiście złośliwa aplikacja jest odpowiednio zamaskowana, kryjąc się przykładowo pod nazwą Adobe Flash Playera. Z kolei użytkownik otrzymuje powiadomienie, że wymagana jest aktualizacja, w celu zwiększenia bezpieczeństwa.

To właśnie na tej ostatniej aplikacji spoczywa zadanie wyciągnięcia wszystkich uprawnień, które pozwolą na przeprowadzenie skutecznego ataku. Oczywiście nieświadomy użytkownik zatwierdzi prośbę o nadanie uprawnień, które mają być niezbędne do przeprowadzania „aktualizacji” Androida lub Adobe Flash Playera.

Ostatnim, czwartym etapem jest uruchomienie trojona bankowości mobilnych. Tutaj już żadnej wyjątkowości nie doświadczymy, zachowuje się on podobnie do większości oprogramowania tego typu. Przedstawia ofierze fałszywe okno wypełnienia formularza, którego celem jest np. wyciągnięcie danych karty kredytowej.

Niestety złożone z wielu poziomów złośliwe ataki, pozostają obecnie poza radarami sklepów. W związku z tym nie możemy traktować obecności aplikacji w sklepie jako potwierdzenia jej jakości i bezpieczeństwa. Warto dobrze sprawdzić mało popularne aplikacje przed ich pobraniem. Nie należy również odstawiać aktualizacji bezpieczeństwa i powinniśmy w ustawieniach Google Play włączyć ochronę Google Play Protect.