0 |
Демонстрацию рекламы в мобильных приложениях все чаще берут на вооружение киберпреступники, создающие для этого всевозможные вредоносные программы. Одной из них стал обнаруженный специалистами «Доктор Веб» троянец Android.Spy.510, который устанавливает на Android-смартфоны и планшеты нежелательный программный модуль, показывающий рекламу поверх большинства запускаемых приложений.
Android.Spy.510 распространяется в модифицированном изначально безобидном мультимедийном проигрывателе, который злоумышленники назвали «AnonyPlayer». Троянская версия плеера обладает всеми функциями оригинала и полностью работоспособна, поэтому у потенциальных жертв не должно возникнуть никаких подозрений относительно его возможной опасности.
После установки и запуска Android.Spy.510 собирает и передает на управляющий сервер ряд конфиденциальных данных, включая логин пользователя от учетной записи Google Play, информацию о модели зараженного смартфона или планшета, версии SDK операционной системы, а также о наличии в ней root-доступа.
Затем троянец пытается инсталлировать скрытый в его ресурсах дополнительный программный пакет, который содержит основную вредоносную функциональность, необходимую злоумышленникам. Для этого Android.Spy.510 демонстрирует специальное сообщение, в котором говорится о необходимости установить приложение AnonyService, якобы обеспечивающее анонимность пользователей и предотвращающее получение конфиденциальной информации третьими лицами.
Сразу после запуска Adware.AnonyPlayer.1.origin запрашивает у владельца мобильного устройства доступ к специальным возможностям операционной системы, после чего переходит в режим ожидания и начинает нежелательную деятельность лишь спустя несколько суток с момента своей инсталляции. Это сделано с целью уменьшения вероятности обнаружения пользователем источника нежелательной активности на зараженном устройстве.
По прошествии заданного времени он начинает отслеживать все происходящие в системе события и ожидает момента, когда жертва запустит какое-либо приложение. Как только это происходит, модуль проверяет, находится ли соответствующая программа в «белом» списке, куда злоумышленники поместили ряд приложений, которые, по их мнению, не содержат функциональности для демонстрации коммерческих предложений.
Если Adware.AnonyPlayer.1.origin находит в этом списке соответствие, то он не предпринимает дальнейших действий, т.к. показ рекламы после старта «чистых» программ, среди которых немало системного и популярного прикладного ПО, может насторожить пользователя и привести к обнаружению ее истинного источника.
Если же запускаемое приложение в данном списке отсутствует, троян формирует специальное уведомление, которое отображается поверх окна начавшей работу программы и содержит указанную управляющим сервером рекламу. В результате владелец устройства может подумать, что источник навязчивых уведомлений — именно то приложение, которое он только что запустил.
Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365
0 |