Eksperci z firmy Kaspersky wykryli szkodliwy kod w wersji 3.17.18 oficjalnego klienta sklepu z aplikacjami APKPure dla systemu Android. Do chwili obecnej zagrożenie zostało wykryte i zablokowane na urządzeniach mobilnych niemal 9 400 użytkowników produktów firmy Kaspersky. Według badaczy szkodliwy kod został wykryty w module odpowiedzialnym za wyświetlanie reklam w aplikacji.
Pojawił się tam najprawdopodobniej w wyniku współpracy producenta z nieetyczną organizacją reklamową. Podobny przypadek miał miejsce w ramach incydentu z aplikacją CamScanner, gdy zastosowano nowy pakiet reklamowy od niezweryfikowanego dostawcy.
Szkodliwy kod osadzony w aplikacji APKPure działa następująco: po uruchomieniu programu dochodzi do deszyfrowania i aktywacji modułu cyberprzestępczego, który następnie gromadzi informacje o urządzeniu i wysyła je do serwera kontrolowanego przez atakujących. Następnie ładowany jest trojan, który cechuje się szeregiem możliwości – od wyświetlania i automatycznego klikania reklam po rejestrowanie użytkownika w płatnych usługach subskrypcyjnych i pobieranie innych szkodliwych programów.
Następnie, w zależności od odpowiedzi serwera kontrolowanego przez cyberprzestępców, trojan może:
- wyświetlać reklamy po każdym odblokowaniu urządzenia,
- otwierać seryjnie reklamy na kolejnych zakładkach przeglądarki,
- ładować dodatkowe moduły wykonywalne.
8 kwietnia badacze z firmy Kaspersky zgłosili incydent sklepowi z aplikacjami. Następnego dnia sklep poinformował, że problem zostanie usunięty w nowej wersji. Stało się tak wraz z publikacją wersji 3.17.19, która jest już dostępna do pobrania.
– W zależności od wersji systemu operacyjnego trojan może wyrządzać różne szkody na urządzeniu ofiary. Użytkownicy aplikacji APKPure korzystający z najnowszej wersji Androida mogą być atakowani uporczywymi reklamami i zostać zapisani do płatnych usług subskrypcyjnych. Osoby korzystające ze smartfonów, które nie otrzymują poprawek związanych z bezpieczeństwem, mają mniej szczęścia: na przestarzałych wersjach systemu operacyjnego szkodnik może ładować dodatkowe niebezpieczne moduły, a nawet instalować je na partycji systemowej. W rezultacie na urządzenie może trafić nieusuwalny trojan, taki jak xHelper. Poinformowaliśmy sklep z aplikacjami o problemie, co pozwoliło na szybkie wydanie odpowiedniej poprawki. Zachęcamy wszystkich użytkowników APKPure do jak najszybszej instalacji wersji 3.17.19 – powiedział Igor Gołowin, ekspert ds. cyberbezpieczeństwa w firmie Kaspersky.
Produkty firmy Kaspersky wykrywają omawiane zagrożenie jako HEUR:Trojan-Dropper.AndroidOS.Triada.ap.
Porady bezpieczeństwa
Eksperci z firmy Kaspersky zalecają wszystkim użytkownikom aplikacji APKPure wykonanie następujących działań:
- Jak najszybciej uaktualnij aplikację do wersji 3.17.19.
- Przeskanuj urządzenie mobilne w poszukiwaniu trojanów i innych szkodliwych modułów przy użyciu sprawdzonego rozwiązania bezpieczeństwa, takiego jak Kaspersky Internet Security for Android.