Nieuwe golf van Joker Android-malware in het wild

Na een periode van stilte is de Joker-malware voor factureringsfraude terug in de Google Play Store. Onderzoekers die samenwerken met mobiel beveiligingsbedrijf Zimperium hebben een rapport gepubliceerd over de nieuwe toename van apps die de Joker-malware dragen.

De mobiele Joker-malware wordt meestal geclassificeerd als fleeceware- of factureringsfraude-malware. Het lift mee met allerlei legitieme toepassingen, variërend van apps voor fotomanipulatie tot mobiele games en berichten-apps. Zodra de app is geïnstalleerd, begint Joker stilletjes klikken uit te voeren, zonder enige vorm van gebruikerstoestemming of toestemming, en abonneert de gebruiker zich op allerlei betaalde premiumservices die worden uitgevoerd en beheerd door de bedreigingsactoren achter de malware.

In de meeste gevallen heeft het slachtoffer geen idee wat er aan de hand is, omdat alles geruisloos wordt uitgevoerd, en het besef dat er iets heel erg mis is, komt samen met de telefoonrekening voor de betreffende maand, maar tegen die tijd is het een beetje laat. Joker kan ook sms-berichten onderscheppen en stelen en kan contacten en informatie over het geïnfecteerde apparaat schrapen.

Zoals met de meeste mobiele malware, is de kans groter dat u een app-pakket tegenkomt dat Joker bevat als u naar .apk-toepassingspakketten vist buiten de officiële Google Play Store, maar er zijn genoeg gevallen van apps in de officiële winkel met Joker te. Zimperium verklaarde dat in de afgelopen vier jaar in totaal 1800 applicaties met Joker zijn verwijderd uit de Google Play Store.

Ondanks de vele verwijderingsgolven, blijven de slechte spelers achter Joker de malware aanpassen en verbeteren, en ook al slagen malware-geïnfecteerde apps er nooit in om beveiligingscontroles te lang te overleven, het simpele feit dat zoiets als Joker steeds terugkomt, laat zien hoe hardnekkig en koppig zijn de hackers erachter.

Een van de nieuwste trucs die Joker gebruikt om detectie te omzeilen, zowel lokaal op apparaten als in de Play Store, is het laten vallen van de payload in een .dex-bestand dat is verdoezeld met behulp van codering of dat is opgeslagen in een afbeeldingsbestand met behulp van steganografie-technieken. De kers op de taart is dat het afbeeldingsbestand ook kan worden gehost op een externe, legitieme cloudservice of zelfs op de command and control-servers van de malware.

Joker kan ook controleren of de omgeving waarop het is beland een emulator is die wordt gebruikt voor sandboxing en onderzoek.