Приложения с троянцами в Google Play

Как сообщила компания «Доктор Веб», в официальном каталоге Google Play были найдены 28 приложений, содержащих вредоносный рекламный модуль, способный загружать троянцев для мобильной платформы Android. Суммарное число установок этих программ может достигать 5,3 млн.

Реклама в Android-приложениях уже давно применяется разработчиками для монетизации своих трудов: это легальный и удобный способ окупить затраченные на создание программ средства и время. Тем не менее предприимчивые киберпреступники еще в 2011 г. обратили внимание на возможности рекламных сетей для мобильных устройств, чтобы распространять с их помощью троянские программы. До сих пор наиболее популярны среди них троянцы семейства Android.SmsSend, предназначенные для отправки дорогостоящих СМС-сообщений и подписки пользователей на платные контент-услуги.

Несмотря на то что существующие рекламные сети для мобильных Android-устройств, такие как Google AdMob, Airpush, Startapp и пр., вполне удовлетворяют потребности мошенников, последние создали собственную рекламную платформу. На первый взгляд она ничем не отличается от остальных, представленных на рынке: сеть предлагает Android-разработчикам заманчивые условия использования рекламного API, обещая высокий и стабильный доход, а также удобство управления и контроля учетных записей. Как и во многих других Adware-модулях, для отображения рекламных сообщений в этом API используется push-метод, когда в панель состояния мобильного Android-устройства выводится то или иное информационное уведомление. Однако помимо заявленных функций данная платформа содержит ряд скрытых возможностей.

Так, в push-уведомлениях от мошеннической рекламной сети может демонстрироваться информация о необходимости установки важного обновления для тех или иных приложений. Если пользователь соглашается на установку такого «обновления», рекламный модуль выполняет загрузку некоего apk-пакета и помещает его на карту памяти в каталог загрузок /mnt/sdcard/download. Этот модуль может также создать на главном экране мобильного устройства ярлык, связанный с только что загруженным ПО, и в дальнейшем при нажатии пользователя на этот ярлык будет инициирован процесс установки соответствующей ему программы.

Проведенное специалистами «Доктор Веб» исследование показало, что загружаемые таким образом apk-файлы являются представителями семейства троянских программ Android.SmsSend. Дальнейший анализ позволил выявить источник, откуда происходила загрузка данных троянцев: им оказались сервера, на IP-адресах которых зарегистрированы поддельные каталоги приложений. В частности, в трех проанализированных приложениях мошенническая рекламная платформа использует связь с управляющим сервером по адресу 188.130.xxx.xx, а в остальных 25 связь осуществляется через управляющий сервер с адресом 91.226.xxx.xx.

Вредоносная рекламная платформа может принимать с управляющих серверов и выполнять команды из следующего списка: news – показать push-уведомление, showpage – открыть веб-страницу в браузере, install – скачать и установить apk, showinstall – показать push-уведомление с установкой apk, iconpage – создать ярлык на веб-страницу, iconinstall – создать ярлык на загруженный apk, newdomen – сменить адрес управляющего сервера, seconddomen – запасной адрес сервера, stop – прекратить обращаться к серверу, testpost – посылает запрос повторно, ok – ничего не делать. Помимо этого мошеннический модуль способен собирать и отправлять на командный сервер следующую информацию: imei мобильного устройства, код оператора и номер imsi сотового телефона.

Особая опасность этого рекламного API заключается в том, что содержащие его приложения были обнаружены в официальном каталоге Google Play, который считается наиболее безопасным источником Android-программ. Из-за того, что многие пользователи привыкли доверять безопасности Google Play, число установок пораженных данным рекламным модулем программ весьма велико. Из-за ограничений, накладываемых компанией Google на статистическую информацию о числе загрузок приложений из ее каталога, нельзя с абсолютной точностью назвать общее число потенциальных жертв, однако на основании имеющихся в распоряжении специалистов «Доктор Веб» сведений можно утверждать, что число пострадавших может достигать более чем 5,3 млн пользователей. Это крупнейший и наиболее массовый со времен ввода антивирусной системы Google Bouncer случай заражения вредоносными приложениями, которые находились в каталоге Google Play.

Принимая во внимание вредоносный функционал исследованного рекламного API, а также обнаруженную связь с сайтами, распространяющими вредоносное ПО для Android, специалисты компании «Доктор Веб» отнесли данный модуль к adware-системам, созданным киберпреступниками для вредоносных целей; в антивирусные базы он внесен под именем Android.Androways.1.origin.