Аналитики компании White Ops обнаружили в Google Play Store 38 вредоносных приложений (список можно увидеть здесь), которые показывали пользователям навязчивую рекламу и осуществляли нежелательные перенаправления в браузерах. Все эти приложения были созданы одной преступной группой.
Вредоносная функциональность в коде приложений была отключена: таким образом операторы малвари пытались обмануть защитные механизмы Google Play Store и проникнуть в каталог.
По данным специалистов, эта хак-группа активна с января 2019 года, именно тогда хакеры начали загружать приложения в официальный каталог Google. Причем 21 из 38 вредоносных приложений группировки появились в Google Play Store именно на начальном этапе активности группировки.
Все приложения хакеров были так или иначе связаны с бьюти-фотографией (среди них были приложения для селфи или приложения, добавляющие различные фильтры к фотографиям). Но после установки они начинали бомбардировать пользователей рекламой, открывали рекламу в браузерах жертв, а также пытались максимально усложнить пострадавшим удаление, скрывая свои иконки.
При этом исследователи отмечают, что приложения и эту кампанию нельзя назвать сложными или успешными. Хотя adware проходила изначальные проверки Google, в конечном итоге приложения идентифицировались как вредоносные и удалялись. Так, большинство приложений группировки проработали перед удалением лишь 17 дней. Впрочем, даже за столь короткий срок большинство успевало в среднем набрать 565 833 установки, а в общей сложности рекламную малварь группы загрузили более 20 000 000 раз.
Так как приложения продолжали удалять, в сентябре 2019 года группировка изменила тактику и стала прилагать больше усилий для сокрытия вредоносной составляющей своих «продуктов».
Во-первых, хакеры начали использовать арабские символы, вставляя их в исходный код приложений. Идея заключалась в том, чтобы не дать инженерам Google заметить явно вредоносную функциональность приложений, используя для этого арабский текст вместо английского (в некоторых местах попадались даже цитаты из Корана).
Во-вторых, злоумышленники стали полностью удалять вредоносный код своих из приложений. Так, с сентября 2019 года хак-группа загрузила в Google Play 15 приложений, и во всех была отключена вредоносная функциональность. Технически эти продукты были «чистыми», однако через некоторое время они могли обновиться, и вредоносный код мог вернуться на место.
Нужно сказать, что в конечном итоге эти уловки не сработали. Дело в том, что приложения были загружены в официальный каталог уже известными Google мошенниками, почему компания все равно удалила их, не желая рисковать.
