Google Sklep Play: usunięto 29 złośliwych aplikacji. Pobrano je 3,5 miliona razy

Badacze z firmy White Ops wykryli grupę aplikacji w Sklepie Play, zawierających złośliwe oprogramowanie. Kryły się pod postacią edytorów zdjęć, a głównie programów umożliwiających funkcję rozmycia w tle.

Kolejne 29 aplikacji znika ze Sklepu Play Google'a /fot. dobreprogramy

Arkadiusz Stando

29 lipca 2020, 11:13

Eksperci ds. cyberbezpieczeństwa z zespołu White Ops Satori Threat Intelligence And Research Team opublikowali nowy wpis na swoim blogu. Informują o zagrożeniu, które znajdowało się w Sklepie Play Google'a, pod postacią aplikacji do edycji zdjęć. Pierwsza na którą natrafili nosiła nazwę Square Photo Blur. Następnie ślad doprowadził ich do kolejnych 28 zainfekowanych programów.

W niektórych przypadkach, aplikacje szybko dawały znać użytkownikowi, że coś jest nie tak. Zaraz po zainstalowaniu, programy usuwały ikonę skrótu z ekranu głównego Androida. Znaleźć je można było jedynie na liście aplikacji w ustawieniach. Złośliwe aplikacje zalewały użytkownika pełnoekranowymi reklamami, wyświetlanymi tuż po odblokowaniu urządzenia.

Google Sklep Play: kampania ChartreuseBlur, czyli 29 złośliwych aplikacji udawało edytory zdjęć

Zespół z WhiteOps nadał tej kampanii nazwę ChartreuseBlur, ponieważ większość z tych aplikacji miała służyć do blurownia, czyli stosowania efektu rozmycia na zdjęciach. Do Sklepu Play, podobnie jak w wielu tego typu przypadkach, trafiły pod fałszywymi nazwiskami twórców. Cyberprzestępcy nawet nie starali się wymyślić imion wyglądających na prawdziwe, a jedynie stworzyli zlepek ze znanych angielskich słów.

Większość z aplikacji miała głównie negatywne recenzje w Sklepie Play. Szczerze mówiąc to dziwne, że zespół bezpieczeństwa Google od razu nie przygląda się tego typu sytuacjom. W komentarzach użytkownicy wyraźnie zaznaczali, że nie są w stanie normalnie korzystać z urządzenia, odkąd zainstalowali aplikację, ponieważ wszędzie wyświetlają im się reklamy.

Aby uniknąć wykrycia przez zabezpieczenia Google Play, aplikacje z grupy ChartreuseBlur wykorzystywały tzw. trzyetapowy proces zrzutu ładunku. W pierwszym z nich, używały packera Qihoo w procesie instalacji. Jak zauważają eksperci z White Ops, to częsty sposób, aby uniknąć wykrycia szkodliwych praktyk.

W drugim etapie aplikacja nie wykazywała jeszcze żadnych szkodliwych funkcji i udawała zwykły program do rozmycia zdjęć. Dopiero trzecia część pozwoliła ekspertom wykryć zagrożenie. Wówczas złośliwy kod zostaje uruchomiony i pojawiają się pełnoekranowe reklamy. Widoczne są, gdy użytkownik odblokuje urządzenie, podłączy je do ładowania oraz włączy lub wyłączy sieć Wi-Fi lub dane komórkowe.