Wykryto groźny malware w aż 60 aplikacjach na Androida. Pobrano je ponad 100 mln razy!

Google stosuje wiele zabezpieczeń swojego sklepu z aplikacjami, jednak przestępcy mają wiele sposobów, aby przemycić malware, czyli soft zawierający złośliwy kod. Najnowsze odkrycie, opisane na blogu McAfee, dotyczy 60 aplikacji, które zawierały kod do gromadzenia poufnych aplikacji i przeprowadzania oszustw reklamowych. Kod ten krył się w bibliotece oprogramowania firmy o nazwie Goldoson, a programiści, którzy jej używali, nie zdawali sobie sprawy, że dodawali do swoich programów malware.

Jak działał Goldoson?

Według analizy po zainstalowaniu Goldoson mógł zbierać dane o aplikacjach zainstalowanych na urządzeniu, historię urządzeń podłączonych przez Wi-Fi i Bluetooth oraz lokalizacje GPS. Oprócz tego, że kradło dane, złośliwe oprogramowanie mogło wywołać klikanie w reklamy w tle bez zgody użytkownika. Osiągało to poprzez załadowanie kodu HTML przez bibliotekę i wstrzyknięcie go do dostosowanego, ukrytego WebView, używając go do odwiedzania wielu adresów URL w celu generowania przychodów z reklam – a wszystko to bez świadomości użytkownika, co się dzieje.

Po zainstalowaniu aplikacji korzystającej z Goldoson biblioteka rejestrowała urządzenie i otrzymywała jego zdalną konfigurację w tym samym czasie, gdy aplikacja była uruchomiona. Nawet w najnowszej wersji systemu operacyjnego, mimo zwiększonych zabezpieczeń, malware zawierający biblioteki Goldoson był w stanie zebrać poufne informacje dotyczące około 10% zainstalowanych aplikacji. Warto dodać, że ilość gromadzonych danych zależała od tego, ile uprawnień użytkownik przyznał aplikacji podczas procesu instalacji.

Które aplikacje były zainfekowane?

Plus jest taki, że raczej żadnej z tych aplikacji nie zdążyliście zainstalować. W większości był one skierowane na rynek koreański. Zostały już albo usunięte z Google Play, albo zaktualizowane przez twórców (tj. usunięto złośliwy kod). Niemniej zostały one pobrane ponad 100 milionów razy za pośrednictwem sklepu Google, podczas gdy około 8 milionów pobrań pochodziło z serwisu ONE, popularnego sklepu z aplikacjami w Korei.

Oto lista zainfekowanych aplikacji:

Źródło: McAfee