Ataki DDoS zamiast agregacji newsów, czyli podstępna aplikacja na Androida

Szczegóły opisał na oficjalnym blogu Lukas Stefanko, który zwrócił uwagę, że atak na witrynę eset.com miał miejsce jeszcze w styczniu tego roku. Dopiero teraz poznajemy dodatkowe informacje. Jak się okazuje, strona została zaatakowana z ponad 4 tysięcy adresów IP, a ruch utrzymywał się przez 7 godzin. Źródłem problemu była aplikacja Updates for Android, która wówczas była dostępna w oficjalnym Sklepie Play, gdzie trafiła we wrześniu ubiegłego roku. Jej teoretycznym zadaniem było agregowanie newsów ze stron informacyjnych.

Kluczowa okazała się jednak późniejsza aktualizacja programu, która dodała do niego możliwość uruchamiania kodu JavaScript, co było zdalnie wykorzystywane przez atakującego. Stefanko podał, że program został pobrany ponad 50 tys. razy, ale na tym etapie nie da się jednoznacznie stwierdzić, ile instalacji zostało wykonanych po opisywanej aktualizacji. Tak czy inaczej, to właśnie zaktualizowany program został wykorzystany do ataku. Ostatecznie zniknął ze Sklepu Play po interwencji ESET-a.

Opisywany przypadek jest ciekawy głównie ze względu na nietypowe podejście atakującego. Aplikacja dodana do Sklepu Play wiele miesięcy temu zdążyła z czasem zyskać zainteresowanie użytkowników Androida, a nawet kilkaset pozytywnych ocen. Dopiero jedna z późniejszych aktualizacji podstępem zmieniła program w narzędzie zdolne do wykonywania ataków DDoS – jak widać, w tym przypadku atakujący byli cierpliwi i ciekawie przygotowali swoje "środowisko pracy".