Viac ako 1 900 falošných Android aplikácií sa dostalo do Google Play. Stiahlo si ich vyše 500-tisíc ľudí: Tieto patrili medzi najsťahovanejšie

Google Play pôsobí ako bezpečnejšie miesto na sťahovanie aplikácií než náhodné APK súbory z internetu. Ani jeho bezpečnostné kontroly však nedokážu zachytiť všetko. Najnovší prípad ukazuje, že škodlivé aplikácie v Google Play môžu nazbierať desaťtisíce stiahnutí skôr, než ich Google z obchodu odstráni.

McAfee Mobile Research Team našiel viac ako 1 900 falošných aplikácií, ktoré sa dostali na viac ako 500-tisíc zariadení vo vyše 190 krajinách. Najviac ich zachytil v Indii, Rusku a Spojených štátoch.

Podvodníci kopírovali názvy a vzhľad služieb ako CapCut, Roblox, PayPal, Netflix, Zelle, Xbox Game Pass či Huawei Health. V obchode sa objavili dokonca aj aplikácie, ktoré sa tvárili ako Siri, iMessage alebo Apple Pay pre Android.

Za aplikáciami pritom nestál jeden účet ani jeden názov. Menili vývojárov, ikony aj grafiku, no technicky si boli veľmi podobné a pripájali sa na rovnakú infraštruktúru. Podľa odhadu pribúdalo približne 20 až 25 nových aplikácií denne. Google ich po nahlásení odstránil.

Falošné aplikácie mali desaťtisíce stiahnutí, jedna prekročila 100-tisíc

Niektoré napodobeniny pritom neboli v Google Play žiadnymi okrajovými aplikáciami. Falošná Zelle® Easy Secure Payments prekročila 100-tisíc stiahnutí, ďalšia kópia Zelle mala viac ako 50-tisíc. Rovnakú hranicu prekonali aj napodobeniny Robloxu a CapCutu.

Súvisí s tým

BTMOB nie je obyčajný Android vírus. Útočník už nemusí byť hacker, stačí mu kúpiť hotový nástroj a takto ťa oklamať, aby si si stiahol falošnú aplikáciu

McAfee vo svojom technickom rozbore kampane uvádza napríklad tieto aplikácie:

• Zelle® Easy Secure Payments – viac ako 100 000 stiahnutí
• Zelle® Faster Payments – viac ako 50 000 stiahnutí
• Roblox – viac ako 50 000 stiahnutí
• Capkut – Video Editor – viac ako 50 000 stiahnutí
• PayPal – Fast Payments – viac ako 10 000 stiahnutí
• Netflix Game Controller – viac ako 10 000 stiahnutí
• Netflix Game Controller: Play – viac ako 10 000 stiahnutí
• Capcut Video Editor 2026 – viac ako 10 000 stiahnutí
• Siri Voice Assistant Android – viac ako 10 000 stiahnutí
• Huawei Health – viac ako 10 000 stiahnutí
• Xbox Game Pass: Play Games – viac ako 5 000 stiahnutí

A to je len časť zoznamu. Výskumníci identifikovali celkovo viac ako 1 900 aplikácií, pričom pri mnohých už počet stiahnutí nebolo možné spätne zistiť.

V Google Play sa objavila aj Siri či Apple Pay pre Android. Nič z toho nebolo od Applu

Zelle je dobrý príklad toho, ako sa dá zmiasť používateľ už samotným názvom aplikácie. Služba síce v minulosti mala vlastnú appku, no od 1. apríla 2025 cez ňu už nemožno posielať ani prijímať peniaze. Zelle dnes funguje cez aplikácie a internetové bankovníctvo podporovaných bánk a úverových družstiev.

V Google Play sa pritom objavili aj aplikácie s názvami Siri Voice Assistant Android, Siri for Android, iMessage for Android, Apple Health for Android či Apple Pay. Siri, iMessage ani Apple Pay však Apple pre Android nevydal.

Ďalšia aplikácia sa volala AppStore: App Downloader a používala grafiku podobnú App Storu. Ak používateľ hľadal známu službu len podľa názvu a ikony, ľahko mohol skončiť pri úplne cudzej aplikácii.

Aplikácie pre deti mali označenie „Everyone“, no zobrazovali hazardné ponuky

Medzi falošnými aplikáciami boli aj známe hry a služby, ktoré často používajú deti. Výskumníci našli napodobeniny Robloxu, Minecraftu, Fall Guys, Brawl Stars, Clash of Clans, Deltarune, Xbox Game Pass aj GTA VI. Spolu išlo najmenej o 37 aplikácií.

Tie, pri ktorých sa ešte dal dohľadať počet stiahnutí, nazbierali viac ako 86-tisíc inštalácií. Najviac mala jedna kópia Robloxu s vyše 50-tisíc stiahnutiami. Dve aplikácie vydávajúce sa za Netflix Game Controller prekročili 10-tisíc a falošný Xbox Game Pass 5-tisíc.

V Google Play pritom svietilo označenie „Everyone“. Po otvorení však niektoré aplikácie zobrazovali ponuky typu „Win Mega Jackpot“, futbalové kvízy či stránky s virtuálnymi mincami a ďalším obsahom pripomínajúcim hazardné reklamy.

Aplikácia len otvorila web, ktorého adresu si stiahla zo servera

Aplikácie pritom nepotrebovali žiadnu chybu v Androide ani root oprávnenia. Po spustení sa pripojili na vzdialený server, odkiaľ si stiahli adresu stránky, ktorú mali používateľovi otvoriť.

Web sa zobrazil cez Chrome Custom Tab priamo v aplikácii. Adresný riadok bol skrytý, takže používateľ nevidel, na akej doméne sa nachádza.

Pri testovaní sa zobrazovali najmä reklamné stránky a kvízy. Cez niektoré reklamy sa však dalo dostať aj na weby, ktoré pýtali údaje o platobnej karte.

Samotné reklamné pozície v aplikáciách pritom nepoužívali bežné produkčné identifikátory, ale testovacie ID Googlu. Platené reklamy sa načítavali až na webe, ktorý aplikácia otvorila.

Niektoré reklamy končili plateným predplatným za 49,99 dolára

Niektoré reklamy viedli na stránky s ponukou bezplatnej skúšobnej verzie, kde sa od používateľa pýtali údaje o platobnej karte. Následne sa mohlo aktivovať predplatné až za 49,99 dolára mesačne. Podľa McAfee išlo o ponuky tretích strán, nie o stránky priamo prevádzkované autormi aplikácií.

Oveľa väčší problém bol v tom, že cieľový web nebol napevno zapísaný v aplikácii. Adresu si sťahovala zo servera pri každom spustení, takže ju bolo možné kedykoľvek vymeniť bez aktualizácie v Google Play.

Počas analýzy sa takto načítavali reklamy, kvízy a stránky s predplatným. Rovnakým spôsobom sa však dal podstrčiť aj phishingový web. Výskumníci síce pri tejto kampani krádež hesiel nezachytili, no z technického pohľadu by stačilo zmeniť adresu na serveri.

APK súbor vyzeral nevinne. Podvod sa načítal až zo servera

V samotných aplikáciách pritom nebolo nič, čo by pripomínalo bežný Android malvér. Nepýtali si citlivé oprávnenia, nesnažili sa získať root prístup a škodlivý kód nemali uložený priamo v APK.

Po inštalácii sa správali skôr ako jednoduchý spúšťač webu. Až po otvorení si zo servera načítali adresu stránky a zobrazili ju používateľovi. Aj preto ich McAfee označuje skôr ako adware a hrozby strednej úrovne.

Celé to navyše prebiehalo priamo cez Google Play. Používateľ nemusel sťahovať APK z cudzieho webu ani povoľovať inštaláciu z neznámych zdrojov. Falošná aplikácia už bola v obchode a v niektorých prípadoch mala desaťtisíce stiahnutí.

Aj falošná aplikácia môže mať 100-tisíc stiahnutí

Falošná aplikácia Zelle mala viac ako 100-tisíc inštalácií a ďalšie napodobeniny nazbierali desiatky tisíc. Samotný počet stiahnutí tak v tomto prípade o pravosti aplikácie nehovoril prakticky nič.

Najväčší problém bol pri značkách, ktoré ľudia poznajú, no presne nevedia, na ktorých platformách ich služby fungujú. Siri, iMessage ani Apple Pay Apple pre Android nevydal, no aj takéto aplikácie sa v Google Play objavili.

Výskumníci všetky identifikované aplikácie nahlásili Googlu a spoločnosť ich z obchodu odstránila.