Приложение под названием Cowboy Adventure является довольно популярным в магазине приложений Google Play с количеством установок от 500 тыс. до 1 млн. Это приложение является игрой и обладает вредоносной активностью, так как используется авторами для сбора учетных данных аккаунтов пользователей социальной сети Facebook. Другое обнаруженное нами приложение со схожими вредоносными возможностями называется Jump Chess.
Рис. Приложение Cowboy Adventure в Google Play.
Рис. Приложение Jump Chess в Google Play.
В отличие от настоящего вредоносного ПО для Android, которое мы рассматривали раньше, эти приложения содержат нормальные возможности, указанные в описании к приложению. Однако, при запуске этих приложений, они показывают пользователю окно, в которое предлагается ввести учетные данные аккаунта Facebook. В случае выполнения этого действия, введенные учетные данные будут отправлены на удаленный сервер атакующих.
Рис. Фальшивое окно ввода учетных данных Facebook, которое отображается приложением.
Плохая новость заключается в том, что на момент изъятия этой программы из Google Play, ее версия уже была 1.3. Само приложение было доступно для загрузки как минимум с 16 апреля 2015 г, когда оно было в очередной раз обновлено. Однако, мы не уверены в том, что первые версии этого приложения содержали эти вредоносные возможности, мы также не знаем сколько аккаунтов Facebook было скомпрометировано.
Другое приложение от того же разработчика называется Jump Chess и оно было доступно для скачивания чуть раньше, с 14 апреля 2015 г. Jump Chess было гораздо менее успешным, поскольку набрало от 1 тыс. до 5 тыс. установок.
Хорошая новость заключается в том, что Google уже изъяла из магазина оба приложения, а также предупреждает пользователей Android об их установке на устройство.
Рис. Окно с предупреждением о том, что устанавливаемое приложение содержит вредоносную активность.
Ранее мы указывали, что механизмы безопасности Android были существенно улучшены компанией Google, что снижает риск заражения вредоносным ПО этой мобильной ОС. В то же время, их все равно недостаточно для обеспечения полной безопасности пользователя мобильного устройства.
Еще одной хорошей новостью является тот факт, что не все те пользователи, которые установили себе на устройства вышеуказанное ПО, доверили ему свои учетные данные социальной сети. Об этом свидетельствуют негативные комментарии пользователей к приложениям.
Рис. Негативные комментарии пользователей к приложению Cowboy Adventure.
Анализ вредоносных приложений показывает, что они были написаны на C# с использованием среды Mono Framework. Вредоносный код располагается в библиотеке TinkerAccountLibrary.dll. Приложение взаимодействует с C&C-сервером через защищенное HTTPS подключение. Для сбора украденных данных злоумышленниками используется другой сервер, известный как «Drop Zone». Его адрес вредоносная программа получает динамически в процессе своей работы.
Для защиты от подобного рода нежелательных программ следует помнить о следующих правилах безопасности.
Рис. Приложение Cowboy Adventure в Google Play.
Рис. Приложение Jump Chess в Google Play.
В отличие от настоящего вредоносного ПО для Android, которое мы рассматривали раньше, эти приложения содержат нормальные возможности, указанные в описании к приложению. Однако, при запуске этих приложений, они показывают пользователю окно, в которое предлагается ввести учетные данные аккаунта Facebook. В случае выполнения этого действия, введенные учетные данные будут отправлены на удаленный сервер атакующих.
Рис. Фальшивое окно ввода учетных данных Facebook, которое отображается приложением.
Плохая новость заключается в том, что на момент изъятия этой программы из Google Play, ее версия уже была 1.3. Само приложение было доступно для загрузки как минимум с 16 апреля 2015 г, когда оно было в очередной раз обновлено. Однако, мы не уверены в том, что первые версии этого приложения содержали эти вредоносные возможности, мы также не знаем сколько аккаунтов Facebook было скомпрометировано.
Другое приложение от того же разработчика называется Jump Chess и оно было доступно для скачивания чуть раньше, с 14 апреля 2015 г. Jump Chess было гораздо менее успешным, поскольку набрало от 1 тыс. до 5 тыс. установок.
Хорошая новость заключается в том, что Google уже изъяла из магазина оба приложения, а также предупреждает пользователей Android об их установке на устройство.
Рис. Окно с предупреждением о том, что устанавливаемое приложение содержит вредоносную активность.
Ранее мы указывали, что механизмы безопасности Android были существенно улучшены компанией Google, что снижает риск заражения вредоносным ПО этой мобильной ОС. В то же время, их все равно недостаточно для обеспечения полной безопасности пользователя мобильного устройства.
Еще одной хорошей новостью является тот факт, что не все те пользователи, которые установили себе на устройства вышеуказанное ПО, доверили ему свои учетные данные социальной сети. Об этом свидетельствуют негативные комментарии пользователей к приложениям.
Рис. Негативные комментарии пользователей к приложению Cowboy Adventure.
Анализ вредоносных приложений показывает, что они были написаны на C# с использованием среды Mono Framework. Вредоносный код располагается в библиотеке TinkerAccountLibrary.dll. Приложение взаимодействует с C&C-сервером через защищенное HTTPS подключение. Для сбора украденных данных злоумышленниками используется другой сервер, известный как «Drop Zone». Его адрес вредоносная программа получает динамически в процессе своей работы.
Для защиты от подобного рода нежелательных программ следует помнить о следующих правилах безопасности.
- Для загрузки приложений используйте фирменный ресурс Google Play, а не сторонние магазины или другие неизвестные источники. Даже если Google Play не может защитить пользователя от установки вредоносных программ на 100%, у него есть серьезные меры безопасности по контролю за приложениями.
- Скачивайте приложения только доверенных разработчиков и отслеживайте их рейтинг, а также комментарии других пользователей к ним в магазине. Мошеннические действия Cowboy Adventure были быстро замечены пользователями, которые указали это в комментариях. Также следует внимательно смотреть за разрешениями, которые запрашивает приложение для своей работы.
- Используйте для своего устройства антивирусное ПО, которое поможет защитить вас от различного рода вредоносных программ. Антивирусный продукт ESET Mobile Security обнаруживает указанные приложения как Android/Spy.Feabme.A.
