24 a Google Play alkalmazásokat találták a Joker malware terjesztésére

A Google Play szerint a rosszindulatú alkalmazásokat, amelyek célja a gyanútlan Android-felhasználók megfertőzése az új Joker malware-kel, összesen 472 000 alkalommal töltöttek le. Ez a szám viszonylag magasnak tűnik, de fel kell hívnunk a figyelmet arra, hogy esetleg nem teljesen pontos. Az űrhajózási technikák nagyon népszerűek a rosszindulatú programok üzemeltetői körében, ami azt jelenti, hogy a letöltési számot nem mindig lehet megbízni.

Ennek ellenére, a CSIS Security Group kutatói szerint, a Joker rosszindulatú szoftvereket összesen 24 alkalmazás útján szállították, és 37 ország, köztük az EU legtöbb tagállamának, valamint a Távol-Kelet és a legnagyobb piac néhány országának felhasználóit célozták meg 37 országban. Dél Amerika. Tehát nem egy kicsi kampányról beszélünk. Nézzük meg, mit akartak a bűnözők ezzel elérni.

Az intelligens elmosódási technikák és a speciális célzás megkülönbözteti a Jokert

A CSIS Security Group szakértői nem mondták el, hogy milyen alkalmazások hordozzák a Joker rosszindulatú programokat, és a Google sem, amely függetlenül észlelte az alkalmazásokat és eltávolította őket a Play Áruházból. Ez azt jelenti, hogy a célzott felhasználói adatbázis pontos demográfia meghatározása nem túl könnyű. Nyugodtan mondhatjuk, hogy ez nem a tipikus spray-and-ima kampány, amelynek célja a lehető legtöbb ember megütése.

Bár néhány alkalmazás a céltól függetlenül folytatja a fertőzést, a legtöbb Joker-alkalmazást úgy programozták, hogy ellenőrizze a felhasználó telefonszámát, és ellenőrizze, hogy az országon belüli kódok listáján szerepel-e az alkalmazás belsejében. Néhány alkalmazás célja a művelet megszakítása, ha úgy látják, hogy az eszköz egy USA vagy egy kanadai állampolgáré. Nehéz megmondani, hogy a célok gondos kitárolásának van-e köze ehhez, ám a kutatók szerint Joker-kód bitei, valamint a vezérlőpanel néhány jellemzője arra utalnak, hogy a szerzők kínaiak.

Miután a rosszindulatú alkalmazás úgy dönt, hogy a cél alkalmas fertőzésre, folytatja a második szakaszbeli hasznos teher letöltését a Command & Control szerverről (C&C), de megpróbálja ezt a lehető legcsendesebben végrehajtani. A C&C-vel folytatott kommunikáció korlátozódik a sikeres fertőzésről szóló rövid jelentés elküldésével és a hasznos teher titkosított formában történő átvételével. A rosszindulatú programot a lehető legkevesebb Java-parancs végrehajtására tervezték, ami megnehezíti a rosszindulatú feladatok észlelését és elrejtését. A Joker által fertőzött alkalmazások egy része splash képernyőt használ.

Prémium előfizetéses malware, amely sokkal többet tehet

A második szakasz hasznos teherének végrehajtása után a Joker rosszindulatú program rendszeresen kapcsolatba lép a C&C-vel és várja az utasításokat. A megfigyelt CSIS kampányban a rosszindulatú alkalmazásokat felfizetett szolgáltatások áldozatainak előfizetésére használták fel.

A C&C elküldi az URL-t, és a Joker a JavaScript használatával nyitja meg azt, és kövesse az előfizetési lépéseket. A Joker által használt sok prémium szolgáltatás igényel kiegészítő kódot, amelyet SMS-ben küld a felhasználónak. A rosszindulatú program el tudja olvasni a szöveges üzenetet, lekérheti a kódot, és befejezheti az előfizetést.

A CSIS szakértői nem adtak túl sok információt arról, hogy az áldozatok miként jöttek létre, de azt mondták, hogy néhány dáni felhasználó feliratkozott egy olyan szolgáltatásra, amely hetente 6,71 eurót (kb. 7,40 dollárt) fizet.

Nyilvánvaló, hogy ebben a konkrét kampányban Jokert használtak pénzkeresésre. Van néhány dolog, amelyek azt sugallják, hogy más célokra is felhasználható.

Az a tény, hogy képes szöveges üzeneteket olvasni, egyértelműen jelzi, hogy sok időt és erőfeszítést tettek rá, ami nem túl jellemző a rosszindulatú szoftverekre, amelyeket csak a fizetős szolgáltatások előfizetésére használnak fel. Sőt, amikor a CSIS kutatói közelebbről megvizsgálták, rájöttek, hogy a Joker nem csak SMS-t képes olvasni, hanem tartalmát is elküldi a C&C-nek. Ezen felül a szakértők megfigyelték a Joker kaparását és az áldozatok névjegyzékének elküldését a rosszindulatú programok operátorai számára. Más szavakkal: néhány kisebb módosítással a Jokert nagy teljesítményű cyberrepionage eszközvé lehet alakítani.

A rosszindulatú programok ismét megjelennek a Google Playen

A CSIS szakértői dicsérték a Google-t, hogy gyorsan és hatékonyan távolította el a rosszindulatú alkalmazásokat a Play Áruházból. Azt kell azonban mondani, hogy nem első sorban kellett volna megjelenniük.

A rosszindulatú programok problémája az Android hivatalos alkalmazásboltjában nem új, és a Google egy ideje próbál megoldásokat találni annak megoldására. Sajnos, állítólag új, továbbfejlesztett szűrők és védelmi mechanizmusok ellenére, nincs olyan rosszindulatú alkalmazás, amely rendszeresen átcsúszik a hálózaton. Ez azt jelenti, hogy továbbra is olyan óvatosnak kell lennie, mint valaha, különösen az új alkalmazások kérésének engedélyével.