Kenkėjiška programinė įranga “Joker” grįžo ir atakuoja milijonus “Android” įrenginių

Pranešama, kad liūdnai pagarsėjusi kenkėjiška programa “Joker” vėl pateko į oficialią “Google Play” parduotuvę, atlikdama subtilius pakeitimus, kad išvengtų automatinių patikrinimų.

“Joker” šeimos kenkėjiškos programos “Google Play Store” programėles užkrečia jau kelerius pastaruosius metus ir net yra pasirodžiusios kitose žinomose programėlių parduotuvėse, pvz., “Huawei”.

“Nepaisant informuotumo apie šią konkrečią kenkėjišką programinę įrangą, ji vis dar randa kelią į oficialią “Google” programų rinką, naudodama pakeistą kodą, vykdymo metodus arba naudingosios apkrovos gavimo būdus”, – siūlo debesijos saugumo bendrovės “Zscaler” tyrėjai.

“Zscaler” teigia, kad šnipinėjimo programa “Joker” skirta vogti SMS žinutes, kontaktų sąrašus ir įrenginio informaciją, be to, ji tyliai registruoja aukas į aukščiausios kokybės belaidžio taikomojo protokolo (WAP) paslaugas.

Būkite budrūs

“Zscaler” komanda jau kurį laiką stebėjo “Joker” ir neseniai buvo įspėta dėl daugybės įkeltų failų “Play Store” parduotuvėje. Patikrinę, ar yra kenkėjiškos programos, tyrėjai įspėjo “Google Android Security” komandą, kuri nedelsdama pašalino keliolika tyrėjų pažymėtų įtartinų programų.

Analizuodami naujausią “Joker” atmainą, “Zscaler” pažymi, kad kenkėjiška programinė įranga naudoja tris skirtingas taktikas, kad apeitų “Google Play” patikros procesą.

Viena iš jų yra tiesioginis komandų ir kontrolės (C2) serverio URL įterpimas į patį kodą, maskuojant jį eilutėmis. Kitais būdais parsisiunčiamas vienas ar du pakopiniai naudingieji krūviai, kurių URL adresai užšifruojami AES, kad būtų neįskaitomi.

Galutinis visų trijų triukų naudingasis krovinys yra kenkėjiškas kodas, kuris savo kenkėjiškai šnipinėjimo veiklai vykdyti naudoja DES šifravimą.

Atsižvelgdami į tai, kaip lengvai kenkėjiškai programinei įrangai pavyko prasmukti pro “Google” filtrus, tyrėjai siūlo naudotojams būti budriems ir visuomet atidžiai stebėti, kokių leidimų prašo programos, kurias jie nori įdiegti, ir stebėti, ar nėra “rizikingų leidimų”, susijusių su žinutėmis, skambučių žurnalais, kontaktais ir kitomis jautriomis įrenginio sritimis.