Duizenden Android-adware-apps verbergen zich in nep-gekraakte pakketten

Er is een grootschalige adware-campagne ontdekt die gericht is op Android-apparaten en waarbij duizenden apps zijn vermomd als gekraakte of gemodificeerde versies van populaire applicaties. De campagne, die loopt sinds oktober 2022, heeft tot doel inkomsten te genereren door gebruikers te bombarderen met ongewenste advertenties. De bedreigingsactoren erachter hebben echter de mogelijkheid om van tactiek te wisselen en andere soorten malware te verspreiden, zoals banktrojans of ransomware, om gevoelige informatie te stelen.

Volgens een technisch rapport van cyberbeveiligingsbedrijf Bitdefender zijn er ongeveer 60.000 unieke apps geïdentificeerd die de adware bevatten. De meeste detecties zijn gevonden in landen als de Verenigde Staten, Zuid-Korea, Brazilië, Duitsland, het Verenigd Koninkrijk, Frankrijk, Kazachstan, Roemenië en Italië.

Distributie en vervalste apps

Met name wordt geen van deze kwaadaardige apps verspreid via de officiële Google Play Store. In plaats daarvan worden gebruikers die zoeken naar populaire apps zoals Netflix, pdf-viewers, beveiligingssoftware of gekraakte versies van YouTube op zoekmachines omgeleid naar advertentiepagina's die de malware hosten.

Eenmaal geïnstalleerd, nemen deze apps maatregelen om detectie te voorkomen, aangezien ze geen zichtbare pictogrammen of namen hebben. Wanneer gebruikers de app voor het eerst starten, krijgen ze bovendien een bericht te zien waarin wordt beweerd dat de app niet beschikbaar is in hun regio en waarin hen wordt gevraagd de app te verwijderen, terwijl de kwaadwillende activiteit op de achtergrond actief blijft.

Werkingswijze van de nep-apps

Een opvallend aspect van deze campagne is de modus operandi van de adware. Aanvankelijk blijft de adware een paar dagen inactief en wordt vervolgens geactiveerd wanneer het slachtoffer zijn telefoon ontgrendelt, waarbij advertenties op volledig scherm worden weergegeven met behulp van Android WebView.

In een afzonderlijke ontdekking vond cyberbeveiligingsbedrijf CloudSEK de frauduleuze SpinOK SDK, eerder onthuld door Doctor Web, ingebed in 193 apps in de Google Play Store, met in totaal 30 miljoen downloads. Deze module presenteert zichzelf als een manier om gebruikers te betrekken bij minigames en taken om beloningen te winnen, maar bevat in feite kwaadaardige functies om bestanden te stelen en de inhoud van het klembord te manipuleren.

Bovendien ontdekte het bedreigingsonderzoeksteam van SonicWall Capture Labs een andere soort Android-malware die zich voordoet als legitieme apps en de toegankelijkheidsservices van het besturingssysteem misbruikt om een breed scala aan informatie van gecompromitteerde apparaten te verzamelen. Dit type aanval kan leiden tot verschillende frauduleuze activiteiten, waaronder financiële fraude en identiteitsdiefstal.