Istraživači iz kompanije HUMAN Security otkrili su masovnu prevaru sa oglasima koja koristi stotine aplikacija u Google Play prodavnici koje služe kao mamci.
Kampanja je nazvana Konfety (na ruskom kонфеты – bombona) zbog zloupotrebe paketa za razvoj softvera za mobilno oglašavanje (SDK) povezanog sa ruskom oglasnom mrežom CaramelAds.
Iako su aplikacije koje služe kao mamci, a kojih ima više od 250, bezopasne i distribuiraju se preko Google Play prodavnice, aplikacije koje su njihovi "zli blizanci" koji se distribuiraju preko oglasa dizajnirani su da olakšaju prevaru sa oglasima, nadgledaju veb pretrage, instaliraju ekstenzije pregledača i učitavaju APK fajlove na uređajima korisnika.
I aplikacije koje služe kao mamci i blizanačke aplikacije rade na istoj infrastrukturi, omogućavajući prevarantima da eksponencijalno skaliraju svoje operacije prema potrebi.
Aplikacije mamci se ponašaju normalno, većina njih čak i ne prikazuje reklame, a takođe većina ima obavještenje o usaglašenosti sa GDPR-om.
Ovaj mehanizam "mamac/zli blizanac" je novi način da prevaranti predstave lažni saobraćaj kao legitiman.
Aplikacije blizanci se propagiraju preko kampanje koja promoviše APK modove i drugi softver kao što je Letasoft Sound Booster, sa URL-ovima koji se nalaze na domenima pod kontrolom napadača, kompromitovanim WordPress sajtovima i drugim platformama koje omogućavaju otpremanje sadržaja, uključujući Docker Hub, Facebook, Google Sites i OpenSea.
Korisnici koji kliknu na ove URL-ove preusmjeravaju se na domen na kojem će biti prevareni da preuzmu zlonamjernu blizanačku aplikaciju, koja funkcioniše kao dropper i koja se koristi za uspostavljanje komunikacije sa serverom.
Ikona aplikacije se uklanja sa početnog ekrana uređaja i pokreće se malver druge faze napada koji prikazuje video reklame preko cijelog ekrana van konteksta, kada je korisnik na početnom ekranu ili koristi drugu aplikaciju.
"Suština operacije Konfety leži u zlim aplikacijama blizancima", rekli su istraživači. "Ove aplikacije oponašaju odgovarajuće aplikacije blizance-mamce kopiranjem njihovih ID-ova aplikacija/imena paketa i ID-ova izdavača iz blizanačkih aplikacija-mamaca."
"Mrežni saobraćaj izveden iz aplikacija koje su zli blizanci je funkcionalno identičan mrežnom saobraćaju izvedenom iz aplikacija blizanaca-mamaca; prikazi oglasa koje prikazuju zli blizanci koriste naziv paketa blizanaca-mamaca u zahtjevu."
Ove aplikacije su odgovorne i za posjete veb sajtovima preko podrazumijevanog veb pregledača, slanje obavještenja koja korisnike podstiču da kliknu na linkove, ili bočno učitavanje modifikovanih verzija drugih oglasnih SDK-ova.
Korisnici se podstiču da dodaju vidžet sa alatkama za pretragu na početni ekran uređaja, koji potajno nadgleda njihove pretrage.
Istraživači kažu da prevaranti očigledno "pronalaze kreativne i pametne načine da izbjegnu otkrivanje i počine održivu dugoročnu prevaru".
Sa druge strane, Google kaže da prati različite varijacije blizanačkih aplikacija i preduzima korake da zaštiti korisnike od ove prijetnje. Prema Googleu, korisnici su više od godinu dana zaštićeni od ovakvih aplikacija pomoću Google Play Protecta koji je podrazumijevano uključen na Android uređajima sa Google Play Services, upozorava korisnike i onemogućava aplikacije za koje je ustanovljeno da su aplikacije "zli blizanci", prenosi "b92".
Pratite nas na našoj Facebook i Instagram stranici, kao i na X nalogu.