Découvrez les 224 applications malveillantes que Google vient de supprimer

Une opération de fraude publicitaire Android à grande échelle a été interrompue après la suppression de 224 applications malveillantes de Google Play.

Une opération de fraude publicitaire Android à grande échelle baptisée « SlopAds » a été démantelée après que 224 applications malveillantes sur Google Play ont été utilisées pour générer 2,3 milliards de demandes de publicités par jour.

L'équipe de renseignement sur les menaces Satori de HUMAN a découvert la campagne de fraude publicitaire. Elle indique que les applications ont été téléchargées plus de 38 millions de fois et utilisent des techniques d'obfuscation et de furtivité pour dissimuler leur comportement malveillant à Google et aux outils de sécurité.

Près de 224 applications malveillantes liées à la campagne de fraude publicitaire SlopAds.

La campagne a été déployée à l'échelle mondiale , avec des installations d'applications dans 228 pays et un trafic SlopAds représentant 2,3 milliards de demandes d'enchères par jour. La plus forte concentration d'impressions publicitaires provenait des États-Unis (30 %), suivis de l'Inde (10 %) et du Brésil (7 %).

« Les chercheurs ont baptisé cette opération « SlopAds » car les applications associées à cette menace ont une apparence produite en masse, ressemblant à un « slop d'IA », et font référence à la collection d'applications et de services sur le thème de l'IA hébergés sur le serveur C2 de l'acteur de la menace », a expliqué HUMAN.

Applications Android impliquées dans la campagne de fraude publicitaire SlopAds Source : HUMAN Satori

Fraude publicitaire extrêmement sophistiquée

La fraude publicitaire implique plusieurs niveaux de tactiques d'évasion pour éviter d'être détectée par le processus d'examen des applications et le logiciel de sécurité de Google.

Si un utilisateur installe l'application SlopAd de manière organique via le Play Store, et non à partir de l'une des publicités de la campagne, l'application se comportera comme une application normale, exécutant normalement la fonction annoncée.

Flux de travail du malware de fraude publicitaire SlopAds Source : HUMAN SATORI

Cependant, s'il détermine que l'application a été installée par un utilisateur cliquant sur un lien vers celle-ci via l'une des campagnes publicitaires de l'acteur de la menace, le logiciel utilisera Firebase Remote Config pour télécharger un fichier de configuration chiffré contenant l'URL du module de malware de fraude publicitaire, le serveur de retrait et la charge utile JavaScript.

L'application détermine ensuite si elle a été installée sur l'appareil d'un utilisateur légitime, plutôt que d'être analysée par un chercheur ou un logiciel de sécurité.

Si l'application passe ces contrôles, elle télécharge quatre images PNG qui utilisent la stéganographie pour masquer des parties de l'APK malveillant, qui sont utilisées pour mener à bien la campagne de fraude publicitaire elle-même.

Code malveillant caché dans des images à l'aide de la stéganographie Source : HUMAN Satori

Une fois téléchargée, l'image est décryptée et réinstallée sur l'appareil pour former le malware « FatModule » complet, qui est utilisé pour effectuer des fraudes publicitaires.

Une fois FatModule activé, il utilise une WebView cachée pour collecter des informations sur l'appareil et le navigateur, puis navigue vers les domaines de fraude publicitaire (scraping d'argent) contrôlés par l'attaquant.

Cela amène l'appareil à consommer en permanence des ressources, notamment du trafic de données, ainsi que de la durée de vie de la batterie et de la mémoire pour accéder à des sites de publicité silencieuse.

Ces domaines se font passer pour des jeux et de nouveaux sites Web, affichant en continu des publicités via des écrans WebView cachés pour générer plus de 2 milliards d'impressions et de clics publicitaires frauduleux par jour, générant ainsi des revenus pour les attaquants.

HUMAN a déclaré que l'infrastructure de la campagne comprenait plusieurs serveurs de commande et de contrôle et plus de 300 domaines publicitaires associés, suggérant que les attaquants prévoyaient d'étendre leur portée au-delà des 224 applications initialement identifiées.

Google a depuis supprimé toutes les applications SlopAds du Play Store et Google Play Protect d'Android a été mis à jour pour avertir les utilisateurs de désinstaller toutes les applications présentes sur leurs appareils.

Cependant, HUMAN prévient que la sophistication de la campagne de fraude publicitaire suggère que l'attaquant adaptera probablement son plan pour réessayer lors de futures attaques.

Si vous téléchargez une application par accident, vous n'avez pas à vous soucier de la retrouver vous-même. Cependant, soyez vigilants sur vos appareils : le système affichera une notification vous demandant de la supprimer.

Cela est dû au fait que Google a mis à jour son application de sécurité Android intégrée Google Play Protect pour avertir les utilisateurs de désinstaller toutes les applications malveillantes qui pourraient se trouver sur leurs smartphones ou tablettes.

L'Albanie nomme AI ministre des Marchés publics.

Ordinateur bipant Voir le lien source

Lien vers la publication originale Copier le lien

https://www.bleepingcomputer.com/news/security/google-nukes-224-android-malware-apps-behind-massive-ad-fraud-campaign/

Source : https://khoahocdoisong.vn/kiem-tra-ngay-224-ung-dung-doc-hai-vua-bi-google-go-bo-post2149053682.html