O aplicație infectată cu un troian care deranjează utilizatorii cu reclame nesolicitate și intermediază instalarea aplicațiilor de cumpărături online a fost detectată de specialiștii producătorului de soluții antivirus Kaspersky.

Shopper vizitează magazinele de aplicații pentru smartphone, descarcă și lansează aplicații și lasă recenzii false în numele utilizatorului, ascunzându-se, în același timp, de proprietarul dispozitivului.

Acum, că reducerile de iarnă sunt în toi, atât utilizatorii, cât și comercianții trebuie să fie atenți. Atunci când aleg un magazin, utilizatorii se bazează foarte mult pe recenzii, în timp ce comercianții își cresc bugetele de promovare și de publicitate. După cum se dovedește, niciunii dintre ei nu pot avea încredere deplină în ceea ce văd online, întrucât o nouă aplicație cu un troian crește rating-urle și instalările aplicațiilor de cumpărături, răspândind totodată numeroase reclame care pot deranja utilizatorii.

Troianul, supranumit “Shopper”, a atras pentru prima dată atenția cercetătorilor prin capacitatea de a crea confuzie în privința structurii sale și prin utilizarea Google Accessibility Service. Serviciul le permite utilizatorilor să seteze o voce pentru a citi conținutul aplicației și pentru a automatiza interacțiunea cu interfața cu utilizatorul – proiectată pentru a ajuta persoanele cu dizabilități. Însă, în mâinile atacatorilor acest serviciu reprezintă o amenințare serioasă pentru proprietarul dispozitivului.

Odată ce are permisiunea de a utiliza serviciul, programul malware poate câștiga puteri aproape nelimitate de interacțiune cu interfața și aplicațiile sistemului. Poate captura date afișate pe ecran, apăsa butoane și chiar simula gesturile utilizatorului. Nu se cunoaște încă modul în care este răspândită, însă cercetătorii Kaspersky presupun că poate fi descărcată de proprietarii de dispozitive din reclame frauduloase sau din magazine de aplicații terțe în timp ce încearcă să obțină o aplicație legitimă.

Aplicația pretinde a fi una de sistem și folosește o pictogramă de sistem denumită ConfigAPKs pentru a se ascunde de utilizator. După ce ecranul este deblocat, aplicația se lansează, adună informații despre dispozitivul victimei și le trimite pe serverele atacatorului. Serverul returnează comenzile pentru executarea aplicației, aplicația fiind capabilă:

• Să utilizeze contul de Google sau Facebook al proprietarului dispozitivului pentru a se înregistra pe aplicații populare de cumpărături și divertisment, cum ar fi AliExpress, Lazada, Zalora, Shein, Joom, Likee sau Alibaba.
• Să lase recenzii aplicațiilor din Google Play, în numele proprietarului dispozitivului;
• Să verifice drepturile de utilizare a serviciului de accesibilitate. Dacă permisiunea nu este acordată, aplicația trimite o solicitare de phishing;
• Să dezactiveze Google Play Protect, o funcție care efectuează o verificare de siguranță a aplicațiilor din Google Play Store înainte de a fi descărcate;
• Să deschidă link-urile primite de la server-ul de la distanță într-o fereastră invizibilă și să se ascundă din meniul aplicației după ce un număr de ecrane au fost deblocate;
• Să afișeze reclame atunci când deblocați ecranul dispozitivului și să creeze etichete pentru anunțurile publicitare din meniul aplicației.
• Să descarce aplicații din Apkpure[.]com market și să le instaleze;
• Să deschidă și să descarce aplicații publicitare în Google Play;
• Să înlocuiască etichetele aplicațiilor instalate cu etichetele paginilor promovate.

Cea mai mare pondere a utilizatorilor infectați de Trojan-Dropper.AndroidOS.Shopper.a din octombrie până în noiembrie 2019 se află în Rusia, 28,46% dintre utilizatorii de aici fiind afectați. Aproape o cincime (18,7%) dintre infectări au fost în Brazilia și 14,23% în India.

„În ciuda faptului că, în acest moment, pericolul real care decurge din această aplicație se limitează la anunțuri nesolicitate, recenzii false și evaluări emise în numele victimei, nimeni nu poate garanta că dezvoltatorii acestui malware nu îi vor schimba conținutul”, spune Igor Golovin, Kaspersky malware analyst. „Deocamdată, aplicația își îndreaptă atenția către zona de comerț, însă are capacitatea să răspândească informații false prin intermediul conturilor de socializare ale utilizatorilor și al altor platforme. De exemplu, aceasta ar putea distribui automat videoclipuri care conțin tot ce ar dori operatorii din spatele Shopper să se găsească pe paginile personale ale utilizatorilor și ar putea inunda Internetul cu informații îndoielnice.”

Produsele Kaspersky detectează și blochează malware-ul Shopper sub următorul nume de detecție: Trojan-Dropper.AndroidOS.Shopper. 

Pentru a reduce riscul de infectare cauzat de amenințări malware precum aceasta, utilizatorii sunt sfătuiți să respecte recomandările de mai jos:

• Feriți-vă de aplicațiile care necesită utilizarea serviciului de accesibilitate, dacă nu sunt concepute pentru a fi utilizate cu această funcție.
• Verificați întotdeauna permisiunile aplicațiilor, pentru a vedea ce anume au voie să facă aplicațiile instalate.
• Nu instalați aplicații din surse care nu prezintă încredere, chiar dacă sunt promovate activ și blocați instalarea programelor din surse necunoscute din setările smartphone-ului.
• Utilizați o soluție fiabilă de securitate mobilă, care poate ajuta la identificarea cererilor potențial periculoase sau îndoielnice făcute de aplicația descărcată și să explice riscurile asociate cu diferite tipuri de permisiuni des întâlnite.