最近，網(wǎng)絡(luò)安全研究人員發(fā)現(xiàn)在過(guò)去的六個(gè)月里，超過(guò) 60,000 款安卓應(yīng)用偷偷偽裝成正版軟件。

已經(jīng)確定這些惡意應(yīng)用程序已經(jīng)在不被發(fā)現(xiàn)的情況下秘密地將廣告軟件植入到毫無(wú)戒心的移動(dòng)設(shè)備上。

就在一個(gè)月前，Bitdefender 在其 Bitdefender Mobile Security 軟件中整合了異常檢測(cè)功能，有效地識(shí)別出了這些惡意應(yīng)用。

傳播

(相關(guān)資料圖)

該惡意軟件的分發(fā)形式多種多樣，據(jù)猜測(cè)該活動(dòng)始于 2022 年 10 月，包括：

偽造的安全軟件

偽造的游戲破解補(bǔ)丁

偽造的作弊工具

偽造的 VPN 軟件

偽造的 Netflix 應(yīng)用

第三方網(wǎng)站上的偽造實(shí)用工具應(yīng)用

偽造的教程

無(wú)廣告的 YouTube/TikTok

偽造的視頻

惡意軟件會(huì)在用戶搜索應(yīng)用、修改版應(yīng)用、破解補(bǔ)丁和相關(guān)資源時(shí)出現(xiàn)，從而實(shí)現(xiàn)有機(jī)的傳播模式。

值得注意的是，針對(duì)修改版應(yīng)用的市場(chǎng)越來(lái)越大且利潤(rùn)豐厚，導(dǎo)致專門(mén)的網(wǎng)站致力于提供這些誘人的合集。

該惡意軟件活動(dòng)已針對(duì)以下國(guó)家的用戶進(jìn)行攻擊：

美國(guó)

韓國(guó)

巴西

德國(guó)

英國(guó)

法國(guó)

修改版應(yīng)用的主要特點(diǎn)在于其能夠修改原始應(yīng)用程序，從而完全訪問(wèn)其功能或引入編程更改。

偷偷安裝并逃避檢測(cè)

Google Play 不受惡意應(yīng)用程序的影響，因?yàn)樗鼈兏鼉A向于存在于通過(guò)谷歌搜索發(fā)現(xiàn)的第三方網(wǎng)站上，并通過(guò) APK 文件吸引用戶。

在瀏覽這些網(wǎng)站時(shí)，可能會(huì)被重定向到展示廣告的網(wǎng)站，或遇到提示誘導(dǎo)您下載所需的應(yīng)用程序。

根據(jù) Bitdefender 的報(bào)告，這些下載平臺(tái)被有意設(shè)計(jì)為 Android 應(yīng)用程序的分發(fā)中心，這些應(yīng)用程序嵌入了惡意代碼，能夠在安裝后感染 Android 設(shè)備并植入廣告軟件。

為了避免獲取額外權(quán)限，這些應(yīng)用程序在安裝后不會(huì)自動(dòng)配置以啟動(dòng)自動(dòng)執(zhí)行。

相反，它完全依賴于 Android 應(yīng)用程序的常規(guī)安裝過(guò)程，在安裝后提示用戶手動(dòng) " 打開(kāi) " 應(yīng)用程序。

此外，這些應(yīng)用故意避免使用圖標(biāo)，并巧妙地在應(yīng)用程序的標(biāo)簽中使用 UTF-8 字符，增加了它們的隱藏性并使其更難以識(shí)別。

這種情況具有雙重性質(zhì)，因?yàn)樗硎救绻脩艉雎粤嗽诎惭b后啟動(dòng)應(yīng)用程序，那么它被后續(xù)啟動(dòng)的可能性會(huì)下降。

應(yīng)用程序啟動(dòng)后會(huì)立即生成一個(gè)錯(cuò)誤消息，并向用戶提供以下通知：

" 該應(yīng)用程序在您的地區(qū)不可訪問(wèn)。點(diǎn)擊 " 確定 " 以卸載。"

Android 應(yīng)用悄悄安裝惡意軟件

盡管表面上看起來(lái)如此，但該應(yīng)用程序并不會(huì)自行卸載；相反，它會(huì)進(jìn)入兩個(gè)小時(shí)的非活動(dòng)階段，在此期間注冊(cè)兩個(gè) " 意圖 "，以在設(shè)備啟動(dòng)或解鎖時(shí)觸發(fā)其啟動(dòng)。

在部署后，該應(yīng)用程序?qū)⑴c攻擊者控制的服務(wù)器建立連接。從這些服務(wù)器上，它將開(kāi)始獲取廣告 URL，這些 URL 將在以下位置展示：

移動(dòng)瀏覽器

全屏 WebView 廣告

盡管目前惡意應(yīng)用的主要功能是展示廣告，但研究人員警告稱，威脅行為者可以輕松將廣告 URL 替換為更具威脅性質(zhì)的網(wǎng)站。

檢測(cè)到惡意域

下面，我們提到了所有檢測(cè)到的惡意域：

Konkfan [ . ] com

beahor [ . ] com

gogomeza [ . ] com

kenudo.net

ehojam [ . ] com

adc-ad-assets.adtilt [ . ] com

adc3-launch.adcolony [ . ] com

adservice.google [ . ] com

auction-load.unityads.unity3d [ . ] com

config.unityads.unity3d [ . ] com

googleads.g.doubleclick.net

httpkafka.unityads.unity3d [ . ] com

pagead2.googlesyndication [ . ] com

publisher-config.unityads.unity3d [ . ] com

Wd.adcolony [ . ] com

IOCs

以下是 IOCs（指示性危險(xiǎn)指標(biāo)）：

53f3fbd3a816f556330d7a17bf27cd0d com.contec.aflwallpapers4k

a8b18a67256618cf9dcd433a04448a5b com.deadsimpleapps.all

53406cc4b3ced24152860a7984d96dbf com.devindie.appfacil

c1d312818d07cddb76d2bece7ad43908 book.com.ram.app

4df8c05d0e323c5aeeb18c61e3c782c6 com.alamincarectg.app

d6e33f7b6ff314e2b61f54434a77e8f0 stickers.russia2018

8ec0432424da16eb8053453f0ce0731a net.playtouch.connectanimalsok

db9f921ccecdef6cd8fb7f5cb0a779d2 com.advfn. Android.ihubmobile

1313fa114436229856797384230a0a73 com.deadsimpleapps.all

3050f562374b275f843f6eb892d2f298 edu.cpcc.go

400568ea7406f4d3704fb4c02682313a com.ik.class3pdf

7a1efcc701f10d2eef08a4f4bcf16fc2 ir.amin.rostami

84aed79a10dd21e0996e08ba0c206965 com.alamincarectg.app

4376ecd8add3622c2793239f658aa5e6 com.fhuchudev.apyarcardownload

8fcc39166b1a8c29fba3f87307967718 book.com.ram.app

b7fb1fa1738c5048cecbe73086823843 com.kacyano.megasena

fd37ff8ded80e9fe07004e201422a129 com.ikeyboard.theme.tiedye.neon.weed

ef83a9b6ffe20b3abdba08a6517b08f0 studio.harpreet.autorefreshanywebsite

319421d550ff761aa4ac2639b3985377 com.mdpabhel.autowebpagereloader2022

7e3fa8b054346c013a8148d76be81a48 uz.pdp.ussds11

60bae94bfa0c79c19fcc19bc5a9fb8e6 com.alamincarectg.app