Oglas izgledao bezazleno, račun nije: Facebook reklame vodile do opasnih Android aplikacija
Dodajte Kurir u vaš Google izborNaizgled bezazleni oglasi na Facebooku bili su deo kampanje koja je korisnike usmeravala ka Android aplikacijama na Google Playu, a neke od njih mogle su da naprave trošak direktno na računu mobilnog operatera. Umesto klasične krađe novca sa bankovnog računa, napadači su koristili takozvani toll fraud malver koji može da prijavi korisnika na uslugu koja se naplaćuje ili da šalje SMS poruke sa posebnom tarifom. Istraživači su pronašli 1.235 oglasa povezanih sa kampanjom i 17 međusobno povezanih aplikacija.
Kampanja je bila posebno opasna zato što korisnik nije morao da napusti zvanične platforme. Oglas na Metinim servisima vodio je do Google Playa, gde se nalazila aplikacija koja je na prvi pogled mogla da deluje legitimno. Jedna od njih zvala se Messenger Pro, a čitava prevara bila je osmišljena tako da se korisnik navede da sam instalira aplikaciju, verujući da rešava problem koji zapravo nije postojao.
Lažno upozorenje o PDF aplikaciji
Istraga je počela nakon što su istraživači naišli na Facebook oglase koji su korisnicima govorili da im je „istekla“ aplikacija za otvaranje PDF dokumenata. Poruka je stvarala utisak da je potrebno odmah instalirati novu aplikaciju kako bi PDF fajlovi ponovo mogli da se otvaraju. Klik na oglas, međutim, nije vodio na sumnjivi sajt sa APK fajlom, već direktno na aplikaciju objavljenu na Google Playu.
Od ukupno 1.235 pronađenih oglasa, njih 852 vodilo je do 17 Android aplikacija koje su bile povezane zajedničkim kodom ili infrastrukturom. Kod šest aplikacija potvrđeno je prisustvo komponente namenjene prevari sa naplatom preko mobilnog operatera ili direktna veza sa njom. Preostalih 11 koristilo je isti zlonamerni loader, mada nije bilo moguće utvrditi koji je malver trebalo da bude preuzet na uređaj.
Novac nestaje kroz telefonski račun
Kod ovakve prevare napadač ne mora da dođe do podataka sa bankovne kartice. Malver može da napravi trošak kroz mobilnog operatera, na primer slanjem SMS poruke ka broju sa posebnom tarifom ili prijavljivanjem korisnika na servis koji se periodično naplaćuje. Račun zato može da bude uvećan, a korisnik tek naknadno shvati da se na njemu pojavila usluga koju nikada nije namerno aktivirao.
Još problematičnije je to što je proces mogao da bude gotovo potpuno automatizovan. Nakon pokretanja aplikacija je proveravala mobilnu mrežu i operatera, otvarala odgovarajuću stranicu za pretplatu i unosila broj telefona. Ako bi servis zahtevao kod poslat SMS porukom, malver je mogao da pročita tu poruku i iskoristi kod za potvrdu pretplate, bez toga da korisnik ručno obavi ceo postupak.
Google Play nije bio dovoljna zaštita
Napadači su iskoristili poverenje koje korisnici imaju u poznate platforme. Oglas je dolazio preko Facebooka, aplikacija su bile na Google Play, a korisnik nije morao da preuzima nepoznati APK sa interneta. Upravo zbog toga je ova kampanja zanimljiva: opasan softver mogao je da stigne do telefona kroz lanac koji je na površini izgledao kao kombinacija dve legitimne usluge.
Aplikacije su pritom koristile tehnike koje su otežavale otkrivanje njihove prave namene. Zlonamerna komponenta nije nužno morala da bude aktivna odmah nakon instalacije, već je mogla naknadno da bude preuzeta, dok je ponašanje aplikacije moglo da zavisi od konkretnog uređaja, mobilnog operatera ili drugih uslova. To je napadačima davalo dodatni prostor da sakriju kampanju od analize.
Aplikacije uklonjene, ali telefoni ostali zaraženi
Googleu su prijavljene sve aplikacije povezane sa kampanjom i one su uklonjene sa Google Playa, dok je Meta uklonila prijavljene oglase. Time, međutim, problem nije automatski nestao. Aplikacija koja je već instalirana na telefonu ostaje na uređaju dok je korisnik sam ne ukloni, a infrastruktura koju su koristili napadači nastavila je da funkcioniše i nakon uklanjanja aplikacija iz prodavnice.
Kampanja je prvenstveno bila usmerena na korisnike u Poljskoj, ali način napada nije vezan samo za jednu zemlju. Poseban razlog za oprez predstavljaju oglasi koji stvaraju hitnost i tvrde da neka aplikacija mora odmah da se ažurira ili zameni, kao i programi koji bez jasnog razloga traže pristup SMS porukama ili drugim funkcijama telefona. Činjenica da je aplikacija dostupna na Google Playu jeste važan bezbednosni filter, ali sama po sebi nije garancija da je svaki program u prodavnici bezopasan.
Zabranjeno preuzimanje dela ili čitavog teksta i/ili foto/videa, bez navođenja i linkovanja izvora i autora, a u skladu sa odredbama WMG uslova korišćenja i Zakonom o javnom informisanju i medijima.