Budite oprezni: "Zli blizanci" vrebaju

Kampanja je nazvana Konfety (na ruskom kонфеты – bombona) zbog zloupotrebe paketa za razvoj softvera za mobilno oglašavanje (SDK) povezanog sa ruskom oglasnom mrežom CaramelAds.

Iako su aplikacije koje služe kao mamci, a kojih ima više od 250, bezopasne i distribuiraju se preko Google Play prodavnice, aplikacije koje su njihovi "zli blizanci" koji se distribuiraju preko oglasa dizajnirani su da olakšaju prevaru sa oglasima, nadgledaju veb pretrage, instaliraju ekstenzije pregledača i učitavaju APK fajlove na uređajima korisnika.

I aplikacije koje služe kao mamci i blizanačke aplikacije rade na istoj infrastrukturi, omogućavajući prevarantima da eksponencijalno skaliraju svoje operacije prema potrebi.

Aplikacije mamci se ponašaju normalno, većina njih čak i ne prikazuje reklame, a takođe većina ima obaveštenje o usaglašenosti sa GDPR-om.

Ovaj mehanizam "mamac/zli blizanac" je novi način da prevaranti predstave lažni saobraćaj kao legitiman.

Aplikacije blizanci se propagiraju preko kampanje koja promoviše APK modove i drugi softver kao što je Letasoft Sound Booster, sa URL-ovima koji se nalaze na domenima pod kontrolom napadača, kompromitovanim WordPress sajtovima i drugim platformama koje omogućavaju otpremanje sadržaja, uključujući Docker Hub, Facebook, Google Sites i OpenSea.

• Platili hakeru 370.000 dolara da izbriše ukradene podatke
• Procurili poverljivi podaci hiljada korisnika Disney Slack kanala
• Koristite ove PDF servise? Oprez, upravo su hakovani!
• Hrvati na meti: Novi veliki napad

Korisnici koji kliknu na ove URL-ove preusmeravaju se na domen na kome će biti prevareni da preuzmu zlonamernu blzanačku aplikaciju, koja funkcioniše kao dropper i koja se koristi za uspostavljanje komunikacije sa serverom.

Ikona aplikacije se uklanja sa početnog ekrana uređaja i pokreće se malver druge faze napada koji prikazuje video reklame preko celog ekrana van konteksta, kada je korisnik na početnom ekranu ili koristi drugu aplikaciju.

"Suština operacije Konfety leži u zlim aplikacijama blizancima", rekli su istraživači. "Ove aplikacije oponašaju odgovarajuće aplikacije blizance-mamce kopiranjem njihovih ID-ova aplikacija/imena paketa i ID-ova izdavača iz blizanačkih aplikacija-mamaca."

"Mrežni saobraćaj izveden iz aplikacija koje su zli blizanci je funkcionalno identičan mrežnom saobraćaju izvedenom iz aplikacija blizanaca-mamaca; prikazi oglasa koje prikazuju zli blizanci koriste naziv paketa blizanaca-mamaca u zahtevu."

Ove aplikacije su odgovorne i za posete veb sajtovima preko podrazumevanog veb pregledača, slanje obaveštenja koja korisnike podstiču da kliknu na linkove, ili bočno učitavanje modifikovanih verzija drugih oglasnih SDK-ova.

Korisnici se podstiču da dodaju vidžet sa alatkama za pretragu na početni ekran uređaja, koji potajno nadgleda njihove pretrage.

Istraživači kažu da prevaranti očigledno "pronalaze kreativne i pametne načine da izbegnu otkrivanje i počine održivu dugoročnu prevaru".

Sa druge strane, Google kaže da prati različite varijacije blizanačkih aplikacija i preduzima korake da zaštiti korisnike od ove pretnje. Prema Googleu, korisnici su više od godinu dana zaštićeni od ovakvih aplikacija pomoću Google Play Protecta koji je podrazumevano uključen na Android uređajima sa Google Play Services, upozorava korisnike i onemogućava aplikacije za koje je ustanovljeno da su aplikacije "zli blizanci".