Google Play mağazasındaki kötü amaçlı yazılım, zararlı kimlik avı sitelerine yol açar

Geliştirici Mobile apps Group’tan kötü amaçlı uygulamalardan oluşan bir aile, Google Play’de listelenir ve Android/Trojan.HiddenAds.BTGTHB ile enfekte olur. Toplamda dört uygulama listeleniyor ve birlikte en az bir milyon indirme topladılar.

Bu uygulamaların eski sürümleri, geçmişte Android/Trojan.HiddenAds’ın farklı varyantları olarak algılanmıştır. Ancak geliştirici, en son HiddenAds kötü amaçlı yazılımını dağıtmak için hâlâ Google Play’de.

Bu, Google Play’de yalnızca birkaç ay önce hileli bir PDF okuyucusundan bulunan reklam yazılımının hemen ardından gelir.

Gecikmeli memnuniyetsizlik

Bu kötü amaçlı yazılımla ilgili analizimiz, Bluetooth Otomatik Bağlantı adlı bir uygulama bulmamızla başlar (uygulamayla ilgili tüm bilgiler bu makalenin altındadır). Kullanıcılar bu kötü amaçlı uygulamayı ilk kez yüklediklerinde, kötü niyetli davranışlar göstermeye başlaması birkaç gün alır. Kötü amaçlı davranışı geciktirmek, kötü amaçlı yazılım geliştiricileri tarafından tespit edilmekten kaçınmak için yaygın olarak kullanılan bir taktiktir. Analizimizde keşfedeceğiniz gibi, bu uygulamanın biraz gecikme kullandığı ortaya çıktı.

İlk gecikmenin ardından, kötü amaçlı uygulama Chrome’da kimlik avı sitelerini açar. Kimlik avı sitelerinin içeriği değişiklik gösterir; bazıları yalnızca tıklama başına ödeme yapmak için kullanılan zararsız sitelerdir ve diğerleri, şüphelenmeyen kullanıcıları kandırmaya çalışan daha tehlikeli kimlik avı siteleridir. Örneğin, bir site, kullanıcıya virüs bulaştığını veya bir güncelleme gerçekleştirmesi gerektiğini söyleyen kimlik avı sayfalarına yönlendiren yetişkinlere uygun içeriğe sahiptir.

Mobil cihaz kilitliyken bile Chrome sekmeleri arka planda açılır. Kullanıcı cihazının kilidini açtığında, Chrome en son siteyle açılır. Yeni bir siteyle sık sık yeni bir sekme açılır ve sonuç olarak, birkaç saat sonra telefonunuzun kilidini açmak, birden çok sekmeyi kapatmak anlamına gelir. Kullanıcıların tarayıcı geçmişi de kötü amaçlı kimlik avı sitelerinin uzun bir listesi olacaktır.

LogCat kullanarak daha derin analiz

Son blog gönderime göre, bir kez daha Android işletim sistemli bir test telefonu kullandım ve onu çalışan dizüstü bilgisayarıma taktım. LogCat eski güzel aracılığıyla Android Cihaz Monitörü. Netleştirmek için, LogCat kullanıldı bu kötü amaçlı yazılımın günlükleri dahil olmak üzere, yüklü uygulamalar ve Android işletim sistemi tarafından oluşturulan tüm günlükleri gözlemlemek için. Bu kötü amaçlı yazılımdan gelen ilk günlük girişi, ilk kurulumdan birkaç saat sonra geldi.

10-20 05:11:07.504: D/sdfsdf(11987): {"adDelay":7200000,"flurryId":"YQBTHDXPVMFT3D7Z7Q92","chromeLink":"https://.com/?ts=1666264263370&id=344","showOuterAd":true,"firstAdDelay":259200000,"versionWithNoAd":"no"}

Günlük girişinin ilk önemli veri noktası, LogCat çağırır Etiket. Bu genellikle günlük metninin bir tanımlayıcısıdır. ActivityManager. Bu durumda, gizlenmiş bir etiket kullanırlar. sdfsdf – kasıtlı aldatmanın başka bir işareti. içine dalış Metin Önemli verilerin depolandığı günlük bölümünde, birkaç önemli veri noktası vardır: reklam gecikmesi, chromeLink, ve ilk Reklam Gecikmesi.

İlk önce chromeLink Chrome’da açılacak kimlik avı sitesinin URL’sidir. Sonra, şuna bakalım: ilk Reklam Gecikmesi ile veri noktası değeri 259200000. Bu değer, ilk reklamın görüntülenmesindeki gecikmenin uzunluğudur (yetmiş iki saat). Günlük girişi oluşturulmadan önceki bu birkaç saati bu gecikmeye ekleyin ve kötü amaçlı uygulamanın yüklenmesinden Chrome’da ilk reklamı görüntülemesine kadar yaklaşık dört gününüz olur.

Her kötü amaçlı yazılım uygulamasının gecikme süresinin değiştiğini unutmayın. Ek olarak, ilk reklam görüntülendikten sonra bir reklam gecikmesi nın-nin 7200000veya iki saat. Bunun, ilk reklam gecikmesinden sonra iki saat daha beklemek mi yoksa ilk reklamdan iki saat sonra başka bir reklam görüntülemek mi olduğu açık değil. Ne olursa olsun, algılamayı gizlemek için gecikmeleri kullanmanın başka bir örneğidir. Bu tür günlük girişleri, her on beş dakikada bir kaydedilir ve sürekli olarak yeni yayınlanan reklamları ayarlar.

Gecikme süresi sona erdikten sonra, reklam görüntülenmek üzere tetiklenir. Bu anda, kullanarak ek günlük girişleri oluşturur. etiket Etkinlik Yöneticisi.

10-24 08:26:30.476: I/ActivityManager(765): START u0 {act=android.intent.action.VIEW dat=https:// .com/... flg=0x14002000 pkg=com.android.chrome cmp=com.android.chrome/org.chromium.chrome.browser.ChromeTabbedActivity (has extras)} from uid 10062

10-24 08:26:31.026: W/ActivityManager(765): Activity pause timeout for ActivityRecord{736d893 u0 com.android.chrome/org.chromium.chrome.browser.ChromeTabbedActivity t11780}

Bu günlük girişleri, Chrome’un etkinlik kullanan bir kimlik avı sitesiyle yeni bir sekme açtığı zamanı temsil eder. ChromeTabbedActivity. Bu noktadan sonra, mobil cihazın kilidini açmak reklamı gösterecektir.

Koda kadar izleme

Şimdi sahip olduğumuz LogCat girişleri, analizimizin bir sonraki adımı, bu kötü niyetli davranışın kodun neresinde gerçekleştiğini bulmaktır. Bunu yapmak için önce uygulamanın Belirgin dosya.

bu Belirgin file temelde Android işletim sisteminin bir uygulamanın etkinliklerini, hizmetlerini ve alıcılarını çalıştırmak için kullanması için bir kılavuzdur. Her etkinlik, hizmet ve alıcı çalıştırılacak kodu içerir. Her Android uygulamasının bir Belirgin dosya.

Çoğu zaman, belirli bir kötü amaçlı yazılım tarafından kullanılan etkinlikler, hizmetler ve alıcılar benzersizdir. Ancak, bu kötü amaçlı yazılıma ilk bakışta hangi etkinliklerin, hizmetlerin veya alıcıların kötü amaçlı kodu çalıştırdığını söylemek zordur. Burası LogCat girişler yardımcı olabilir. Bu günlükler, tütsüleme tabancası Tam olarak hangi etkinliklerin, hizmetlerin veya alıcıların kötü niyetli davranışı tetiklediği. İronik bir şekilde, bir araç kullanarak algılamayı gizleme girişimleri LogCat etiket nın-nin sdfsdf suçlunun takibini kolaylaştırdı. hızlı arama sdfsdf kodda, hizmet adına kadar izini sürdüğünü ortaya koyuyor com.github.libpackage.service.PushServiceve etkinlik adı com.github.libpackage.view.NotificationActivity. Adlandırma kuralında popüler GitHub’ın kullanılması, algılamayı gizlemeye yönelik bir başka bariz girişimdir. Oradan, ek veri noktalarını kullanarak daha fazla doğrulama yapabildik. LogCat Metin.

Gizli Reklamların Tarihi

Bluetooth Otomatik Bağlantıya odaklanmaya devam eden bu uygulama, HiddenAds’ın farklı türevlerine bulaşma konusunda uzun bir geçmişe sahiptir. Diğer uygulamaların Mobil uygulamalar Grubu benzer bir geçmişi var.