Týchto 455 škodlivých Android aplikácií malo viac než 24 miliónov stiahnutí. Ak ich nájdeš v mobile, okamžite ich odstráň. Správajú sa ako vírus

Predstav si, že si do telefónu stiahneš obyčajnú PDF čítačku. Funguje normálne, nežiada zvláštne povolenia a nič na nej nepôsobí podozrivo. Lenže práve takto sa podľa výskumníkov zo Satori tímu spoločnosti HUMAN šírila kampaň Trapdoor, ktorá z bežných Android aplikácií spravila skrytý nástroj na reklamný podvod.

Rozsah celej operácie bol obrovský. Aplikácie napojené na Trapdoor mali viac než 24 miliónov stiahnutí a v najväčšej špičke generovali až 659 miliónov falošných požiadaviek v reklamných aukciách denne. Inými slovami, reklamný systém si myslel, že ide o reálnu aktivitu používateľov. V skutočnosti sa veľká časť tejto aktivity odohrávala potichu na pozadí telefónov.

Pasca sa nespustila hneď. Najprv si aplikácia musela získať tvoju dôveru

Na tomto podvode bolo zákerné hlavne to, že sa nespustil hneď. Ak si si aplikáciu našiel sám v Google Play a nainštaloval ju bežným spôsobom, mohla sa správať úplne normálne. Otvorila PDF súbor, upratala súbory alebo robila presne to, čo sľubovala. Nežiadala zvláštne povolenia a nedávala ti dôvod myslieť si, že v telefóne sedí problém.

Pasca prišla až neskôr. Aplikácia začala zobrazovať upozornenia, že je zastaraná, nepodporovaná alebo potrebuje aktualizáciu. Lenže tlačidlo na „aktualizáciu“ neviedlo k bežnej oprave aplikácie. Používateľa nasmerovalo k stiahnutiu ďalšej aplikácie, ktorú ovládali tí istí útočníci. A práve tá už mala na starosti skrytý reklamný podvod.

„Používateľ si často myslí, že sťahuje obyčajnú aplikáciu, napríklad PDF prehliadač alebo čistič telefónu. Tá ho však cez škodlivú reklamu tlačí k ďalšej aplikácii,“ vysvetľujú výskumníci z tímu HUMAN Satori.

Reklamy nikto nevidel, no telefón sa tváril, akoby na ne klikal človek

Skutočný trik sa začal až po inštalácii druhej aplikácie. Tá si v telefóne otvorila skryté WebView, teda akési malé okno prehliadača zabudované priamo v aplikácii. Bežne sa používa napríklad na zobrazenie webovej stránky bez toho, aby si musel otvárať Chrome. V tomto prípade ho však používateľ nevidel. Aplikácia cez neho potichu načítavala stránky ovládané útočníkmi a tvárila sa, že na nich prebieha normálna reklamná aktivita.

Súvisí s tým

BTMOB nie je obyčajný Android vírus. Útočník už nemusí byť hacker, stačí mu kúpiť hotový nástroj a takto ťa oklamať, aby si si stiahol falošnú aplikáciu

Podvodníci sa dokonca snažili napodobniť správanie človeka. Aplikácia nemala len náhodne ťukať na obrazovku, ale používala vopred pripravené pokyny, kde a kedy má simulovať dotyk alebo pohyb prstom. Výskumníci tieto pokyny našli v súboroch move.txt a click.txt. Inými slovami, telefón v pozadí robil gestá, ktoré mali vyzerať ako reálne kliknutia na reklamu, hoci používateľ o ničom netušil.

Aplikácia vedela rozlíšiť bežného používateľa od bezpečnostného výskumníka

Trapdoor mal v sebe jednoduchý, ale veľmi účinný trik. Aplikácia sa nepýtala len na to, kto ju otvoril, ale aj na to, odkiaľ používateľ prišiel. Keď si ju niekto stiahol priamo z Google Play, správala sa ako obyčajný nástroj. Keď však používateľ prišiel cez reklamu pripravenú útočníkmi, aplikácia to rozoznala a spustila škodlivý scenár.

Práve preto sa kampaň tak ťažko odhaľovala. Výskumník mohol aplikáciu nainštalovať, skúšať ju a nič zvláštne nevidel. Pasca sa otvorila až tomu, koho do nej priviedla správna reklama. Útočníci tak obrátili bežný marketingový nástroj proti bezpečnostným kontrolám a získali čas, kým ich niekto odhalil.

Trapdoor nebol náhodný trik. Rovnaký model sa objavil aj pri ďalších reklamných podvodoch

Trapdoor nebol len ďalší náhodný trik s reklamami. Podľa výskumníkov zapadol do väčšieho vzoru, ktorý sa objavil aj pri operáciách SlopAds, Low5 a BADBOX 2.0. Všetky tieto kampane využívali HTML5 stránky, často jednoduché herné alebo spravodajské weby, cez ktoré sa falošná aktivita premieňala na príjem.

Princíp bol nepríjemne jednoduchý. Telefón používateľa v pozadí otvoril stránku ovládanú útočníkmi, reklamný systém ju vyhodnotil ako priestor pre reklamu a následne sa spustili naprogramované kliknutia. Peniaze z takto vytvoreného reklamného podvodu potom mohli financovať ďalšie kampane, ktoré priviedli nové obete. Presne preto je Trapdoor nebezpečný. Nešlo o jednorazový útok, ale o systém, ktorý sa dokázal živiť sám.

Aplikácie sa neskrývali len pred používateľom, ale aj pred bezpečnostnými výskumníkmi

Trapdoor sa nesnažil skryť len pred človekom, ktorý mal aplikáciu v telefóne. Útočníci počítali aj s tým, že ich raz začnú skúmať bezpečnostní analytici. Preto aplikácie kontrolovali, či nebežia v podozrivom prostredí, napríklad na upravenom telefóne, pri zapnutom debugovaní alebo cez VPN. Práve takéto nástroje výskumníci často používajú, keď chcú zistiť, čo aplikácia v skutočnosti robí.

Okrem toho bol škodlivý kód zamaskovaný a dôležité časti boli zašifrované. Laicky povedané, aplikácia neukázala svoje skutočné vnútro hneď po otvorení. Výskumníci museli postupne rozbaliť vrstvy, v ktorých sa skrývali adresy serverov, pokyny na kliknutia aj spôsob, akým sa mala reklama v pozadí spúšťať. Pri operácii s 455 Android aplikáciami a 183 riadiacimi doménami už nešlo o náhodný trik, ale o dobre pripravený systém, v ktorom každá časť posúvala používateľa bližšie k reklamnému podvodu.

Google aplikácie odstránil, no podobný trik sa môže objaviť znova

Google po nahlásení odstránil identifikované aplikácie z obchodu Google Play. To však neznamená, že podobný trik sa nemôže objaviť znova pod iným názvom a s novými aplikáciami. Výskumníci zároveň upozorňujú, že väčšina prevádzky spojenej s Trapdoorom pochádzala zo Spojených štátov, ktoré tvorili viac než tri štvrtiny celkového objemu.

Nižšie nájdeš zoznam aplikácií spojených s touto kampaňou. Ak niektorú z nich máš v telefóne, odporúčame ju okamžite odinštalovať a následne skontrolovať zariadenie cez Google Play Protect alebo bezpečnostnú aplikáciu, ktorej dôveruješ.

Trapdoor ukazuje, ako ďaleko sa posunuli reklamné podvody v mobilnom svete. Už nejde len o otravnú reklamu, ktorá vyskočí na obrazovke. V tomto prípade sa z obyčajnej aplikácie stal prvý krok v reťazci, ktorý používateľa nenápadne posunul k ďalšej aplikácii. Tá potom otvorila skryté reklamné stránky a vytvárala falošnú aktivitu, na ktorej útočníci zarábali peniaze.

„Trapdoor ukazuje, ako dokážu podvodníci premeniť bežnú inštaláciu aplikácie na systém, ktorý si sám zarába na ďalšie škodlivé reklamné kampane. Útočníci pritom zneužili aj legitímne nástroje, napríklad atribučný softvér, aby svoje podvody lepšie maskovali,“ uviedol Gavin Reid, riaditeľ informačnej bezpečnosti spoločnosti HUMAN.