Свыше 1900 приложений, размещённых в Google Play, установили владельцы более чем 500 тысяч устройств в 190 с лишним странах. Сильнее всего волна затронула Индию, Россию и США. Каждый день в магазине появлялось от 20 до 25 новых обманок. Каждая маскировалась под известный продукт: CapCut, Roblox, Zelle, PayPal, Netflix, Xbox Game Pass, Siri, iMessage. Выпускали их с разных учётных записей разработчиков, однако все они опирались на общую кодовую базу, повторяли одни и те же приёмы обмана и обращались к одному серверу. Тот указывал каждому приложению, куда направить человека. Конечной точкой становилась цепочка рекламных страниц, а в ходе проверки размещённые там объявления вели на страницы сторонних сервисов с фиктивными подписками - до 49,99 доллара в месяц.
Описание
Схема строилась на доверии к официальному магазину и к знакомым логотипам. Человек искал приложение привычного бренда, находил результат с нужным названием и оформлением и устанавливал его. После запуска приложение связывалось с управляющим сервером. В ответ приходил небольшой настроечный набор, где среди прочего лежал сетевой адрес. Этот адрес приложение открывало во встроенном окне браузера, а строку с адресом прятало. Никакого полезного продукта внутри не было: ни уроков по монтажу, ни инструкций по переводам денег. Люди видели бесконечную череду рекламных и игровых страниц.
По данным McAfee, каждое приложение из этой семьи оставалось лишь оболочкой, а его настоящая начинка жила на стороне злоумышленников. Поэтому адрес назначения можно менять в любой момент - для отдельного приложения, без выпуска обновления и без повторной проверки в магазине. Настройки рекламных блоков внутри самих приложений указывали на служебные идентификаторы Google, которые дохода не приносят. Деньги операторы получали с чужой страницы: её рекламные места заполняют биржи, продающие показы тому, кто больше заплатит, и вели эти показы к формам оплаты с подписками. Подобная возможность - спрятанная адресная строка плюс управляемый извне адрес - годится и для похищения банковских данных, даже если сейчас её используют только для рекламы.
Отдельно выделялись подделки под финансовые сервисы: Zelle, PayPal, Apple Pay, Mir Pay, Binance и несколько банков. Одно фальшивое приложение PayPal скачали более 10 тысяч раз. Со Zelle и Apple Pay у злоумышленников сложилась особая ситуация. У Zelle нет собственного клиентского приложения - сервис работает внутри банковского. Apple Pay на Android не существует вовсе, как и Siri, iMessage, FaceTime и магазин приложений Apple. Любой поиск по этим названиям в Google Play не имеет верного ответа. Именно такие запросы удобнее всего перехватывать.
Другую крупную группу составили 37 приложений под игры и сервисы для молодой аудитории: Roblox, Minecraft, Fall Guys, Brawl Stars, Clash of Clans, Deltarune, Xbox Game Pass и даже GTA VI. У всех стоял рейтинг "Для всех". Среди тех, чьи показатели удалось измерить, такие сборки скачали более 86 тысяч раз. Внутри детей встречал азартный квиз с обещаниями ежедневных монет и крупного джекпота. Ребёнок искал Roblox, устанавливал приложение с логотипом Roblox и попадал на страницы, которые злоумышленники перенаправляют по своему усмотрению. Ни одного предупреждения при этом он не получал.
Необычность кампании в том, чего в ней нет. Здесь не нашлось ни эксплойта, ни попытки повысить права в системе, ни опасных разрешений, ни скрытой загрузки дополнительного кода. Инструменты статического анализа, то есть проверки программы без её запуска, почти не находили привычных признаков вредоносного ПО. Обман происходит вне кода приложения: злоумышленники опираются на доверие к магазину и к узнаваемым брендам. Убедить человека установить программу - самый важный этап всей операции. Дальнейшее поведение может оставаться простым, как в этом случае с перенаправлением на рекламу.
После обращения McAfee компания Google удалила все найденные приложения из магазина. McAfee входит в App Defense Alliance - отраслевое объединение, которое помогает участникам мобильного рынка обмениваться данными и быстрее защищать пользователей. Средства McAfee Mobile Security распознают это семейство как угрозу среднего уровня риска.
Скачивать банковские приложения стоит только с сайта самого банка или по проверенной ссылке. Насторожить должны "гайды", "уроки", "помощники" и "советы" для сервисов, которыми человек уже пользуется: настоящему продукту посредники не нужны. Смотреть надо не на название и значок, а на имя разработчика - подлинное приложение бренда публикует сам бренд. Число загрузок тоже ничего не доказывает: у нескольких обманок счёт шёл на десятки тысяч. Если сервиса нет на платформе, никакое приложение его не заменит. Дополнительный уровень даёт защитное решение для смартфона.
Мобильная безопасность за последние годы окрепла: разрешения стали узкими, изоляция приложений жёстче, магазины строже проверяют публикации. Ни один из этих рубежей в описанной истории не проверялся на прочность. Атакующие сместили усилие туда, где обновления не помогут, - на решения человека с телефоном в руке. Давление идёт ровно по слабому месту: знакомый логотип, официальный магазин, точное совпадение с поисковым запросом. Пока эта ниша остаётся открытой, скромные с виду приложения будут собирать аудиторию и превращаться в источник крупного дохода.
Индикаторы компрометации
