SpinOK-malware lastet ned over 400 millioner ganger, i over 100 kompromitterte apper

Sikkerhetsforskere har gjort et betydelig funn angående en Android-programvarekomponent som har spionprogramfunksjoner. Dens primære funksjon er å samle informasjon om filer som er lagret på enheter og lette overføringen av dem til ondsinnede personer. Videre har den muligheten til å erstatte og laste opp utklippstavleinnhold til en ekstern server. Flagget som Android.Spy.SpinOk, er denne komponenten distribuert som et markedsføringsprogramvareutviklingssett (SDK), som utviklere kan integrere i ulike applikasjoner og spill, inkludert de som finnes på Google Play.

Ved første øyekast er SpinOk-modulen designet for å opprettholde brukernes engasjement i apper gjennom inkorporering av minispill, oppgavesystemer og påståtte premier og belønninger. Når den startes, etablerer denne trojanske SDK-en en forbindelse med en kommando-og-kontroll-server (C&C) ved å sende en forespørsel som inneholder et omfattende utvalg av tekniske detaljer om den infiserte enheten.

Dette inkluderer data fra sensorer som gyroskopet og magnetometeret, som kan brukes til å oppdage emulatormiljøer og tilpasse modulens operasjonsprosedyrer for å unngå oppdagelse av sikkerhetsforskere. I tillegg omgår den enhetens proxy-innstillinger for å skjule nettverkstilkoblinger under analyse. Som svar mottar modulen en liste over URL-er fra serveren, som den deretter åpner i WebView for å vise reklamebannere.

SpinOK-funksjoner

Den trojanske SDK utvider mulighetene til JavaScript-kode som kjøres på lastede nettsider med annonser. Den introduserer ulike funksjoner til denne koden, for eksempel muligheten til å:

• Skaff en liste over filer i spesifiserte kataloger.
• Bekreft tilstedeværelsen av spesifikke filer eller kataloger på enheten.
• Hent en fil fra enheten.
• Kopier eller bytt ut innholdet på utklippstavlen.

Følgelig kan operatørene av denne trojanske modulen få tilgang til konfidensiell informasjon og filer fra en brukers enhet, spesielt filer som kan nås av apper som inneholder Android.Spy.SpinOk. For å oppnå dette, må angriperne sette inn tilsvarende kode på HTML-siden til annonsebanneret.

Sikkerhetsforskere avdekket denne trojanske modulen og identifiserte flere varianter av den i flere apper distribuert gjennom Google Play. Mens noen av disse appene fortsetter å inneholde den ondsinnede SDK-en, hadde andre den bare i spesifikke versjoner eller har blitt fullstendig fjernet fra katalogen. Våre skadevareanalytikere oppdaget dens tilstedeværelse i 101 apper med en samlet total på minst 421 290 300 nedlastinger. Følgelig er hundrevis av millioner av eiere av Android-enheter utsatt for risikoen for å bli offer for nettspionasje. Doctor Web varslet Google umiddelbart om denne avdekkede trusselen.