300,000 завантажень шпигунського ПЗ з Google Play: шахраї вигадують нові способи обдурити користувачів

Про це повідомляє компанія ThreatFabric, що спеціалізується на питаннях мобільної безпеки. Як зазначає її представник в цьому пості в блозі компанії, шахраї навчилися обходити автоматичну перевірку — насамперед завдяки тому, що нове шпигунське ПЗ залишає дуже малий “шкідливий слід” і не блокується стандартним обмеженням дозволів магазину Google Play.

Типова поведінка такого шпигунського ПЗ — спочатку встановлюється доброякісний додаток, в якого з дозволами “все гаразд”, але в майбутньому він пропонує користувачеві додатково завантажити “оновлення” продукту, яке додасть нові функції. Ці завантаження будуть виконуватись вже з інших джерел, але на той час користувач вже звикає довіряти додатку, тож погоджується на такий крок. Більше того, часто такі завантаження виконуються “постачальником” шкідливого софта вручну, після перевірки географічного розташування інфікованого смартфона або за допомогою покрокового оновлення ПЗ. Такий “ювелірний” підхід дозволяє оминати автоматичну перевірку, не викликаючи в неї підозри — причому не тільки самого магазину, але й такого відомого ресурсу, як VirusTotal.

Найбільше сімейство такого типу троянів — Anatsa (загалом більше ніж 200 тис. завантажень). Це банківський троян, що містить не тільки класичний кейлогер, але й можливість віддаленого доступу і навіть систему автоматичного трансферу коштів. Інші трояни зі схожими принципами роботи, але не настільки поширені – Alien (50+ тис. завантажень) та Hydra/Ermac (15+ тис. завантажень). Найтиповіші варіанти додатків, за допомогою яких поширювалися ці трояни — сканери PDF-документів, QR-кодів тощо: