בדקו את 224 האפליקציות הזדוניות שגוגל הסירה זה עתה

מבצע הונאת פרסום רחב היקף באנדרואיד שכונה "SlopAds" שובש לאחר ש-224 אפליקציות זדוניות בגוגל פליי שימשו לייצור 2.3 מיליארד בקשות פרסום ביום.

צוות מודיעין האיומים Satori של HUMAN גילה את קמפיין ההונאה של הפרסומות. הצוות מדווח כי האפליקציות הורדו יותר מ-38 מיליון פעמים ומשתמשות בטכניקות ערפול והתגנבות כדי להסתיר את התנהגותן הזדונית מגוגל ומכלי אבטחה.

כמעט 224 אפליקציות זדוניות מקושרות לקמפיין הונאת הפרסום של SlopAds.

הקמפיין נפרס ברחבי העולם , עם התקנות אפליקציה מ-228 מדינות ותנועה מ-SlopAds שהיוותה 2.3 מיליארד בקשות להצעת מחיר ביום. הריכוז הגבוה ביותר של חשיפות מודעות הגיע מארצות הברית (30%), אחריה הודו (10%) וברזיל (7%).

"חוקרים כינו את המבצע הזה 'SlopAds' משום שהאפליקציות הקשורות לאיום הזה נראות המוני, הדומה ל'שלל בינה מלאכותית', והן מתייחסות לאוסף של אפליקציות ושירותים בנושא בינה מלאכותית המאוחסנים בשרת C2 של גורם האיום", הסביר HUMAN.

Các ứng dụng Android liên quan đến chiến dịch gian lận quảng cáo SlopAds Nguồn: HUMAN Satori — אפליקציות אנדרואיד המעורבות בקמפיין הונאה של SlopAds מקור: HUMAN Satori

הונאת פרסום מתוחכמת ביותר

הונאת פרסום כרוכה במספר רמות של טקטיקות התחמקות כדי להימנע מגילוי על ידי תהליך סקירת האפליקציות ותוכנת האבטחה של גוגל.

אם משתמש מתקין את אפליקציית SlopAd באופן אורגני דרך חנות Play, ולא מאחת ממודעות הקמפיין, האפליקציה תתנהג כמו אפליקציה רגילה, ותבצע את הפונקציה המפורסמת כרגיל.

Quy trình làm việc của phần mềm độc hại gian lận quảng cáo SlopAds Nguồn: HUMAN SATORI — תהליך עבודה של תוכנה זדונית להונאת פרסום SlopAds מקור: HUMAN SATORI

עם זאת, אם התוכנה תקבע שהאפליקציה הותקנה על ידי משתמש שלחץ על קישור אליה דרך אחד מקמפייני הפרסום של גורם האיום, התוכנה תשתמש ב-Firebase Remote Config כדי להוריד קובץ תצורה מוצפן המכיל את כתובת האתר עבור מודול תוכנות הזדוניות של הונאת פרסום, שרת ה-cash-out ומטען ה-JavaScript.

לאחר מכן האפליקציה קובעת האם היא הותקנה על מכשיר של משתמש לגיטימי, במקום שהיא מנותחת על ידי חוקר או תוכנת אבטחה.

אם האפליקציה עוברת את הבדיקות הללו, היא מורידה ארבע תמונות PNG המשתמשות בסטגנוגרפיה כדי להסתיר חלקים מה-APK הזדוני, המשמשות לביצוע קמפיין הונאת הפרסום עצמו.

Mã độc ẩn trong hình ảnh bằng kỹ thuật ẩn chữ Nguồn: HUMAN Satori — קוד זדוני מוסתר בתמונות באמצעות סטגנוגרפיה מקור: HUMAN Satori

לאחר ההורדה, התמונה מפוענחת ומותקנת מחדש במכשיר כדי ליצור את הנוזקה המלאה "FatModule", המשמשת לביצוע הונאת פרסום.

לאחר הפעלת FatModule, הוא משתמש ב-WebView נסתר כדי לאסוף מידע על המכשיר והדפדפן, ולאחר מכן מנווט לדומיינים של הונאת פרסום (גרידת כסף) הנשלטים על ידי התוקף.

זה גורם למכשיר לצרוך משאבים באופן רציף, כולל תעבורת נתונים, כמו גם חיי סוללה וזיכרון, לצורך גישה לאתרי פרסום שקטים.

דומיינים אלה מתחזים למשחקים ואתרים חדשים, ומציגים באופן רציף פרסומות דרך מסכי WebView נסתרים כדי לייצר למעלה מ-2 מיליארד חשיפות וקליקים של פרסומות הונאה ביום, ובכך מייצרים הכנסות לתוקפים.

HUMAN מסרה כי תשתית הקמפיין כללה מספר שרתי פיקוד ובקרה ויותר מ-300 דומיינים פרסומיים קשורים, דבר המצביע על כך שהתוקפים תכננו להרחיב את טווח ההגעה שלהם מעבר ל-224 האפליקציות הראשוניות שזוהו.

מאז, גוגל הסירה את כל אפליקציות SlopAds מחנות Play, ו-Google Play Protect של אנדרואיד עודכן כדי להזהיר משתמשים להסיר את ההתקנה של כל אפליקציה הקיימת במכשירים שלהם.

עם זאת, HUMAN מזהירה כי התחכום של קמפיין הונאת הפרסום מצביע על כך שהתוקף ככל הנראה יתאים את תוכניתו כדי לנסות שוב במתקפות עתידיות.

אם הורדת אפליקציה בטעות, אינך צריך לדאוג לאיתורה בעצמך. עם זאת, המשתמשים צריכים לשים לב במכשירים שלהם, המערכת תציג התראה ותבקש להסיר אותה.

הסיבה לכך היא שגוגל עדכנה את אפליקציית האבטחה המובנית שלה לאנדרואיד, Google Play Protect, כדי להזהיר משתמשים להסיר את ההתקנה של כל אפליקציה זדונית שעשויה להיות בטלפונים החכמים או בטאבלטים שלהם.