В цифровой рекламной экосистеме произошло очередное серьёзное потрясение. Специалисты команды Satori Threat Intelligence, входящей в компанию HUMAN, выявили и пресекли работу сложной мошеннической операции, получившей название Trapdoor. В отличие от обычных схем, эта кампания объединила в себе сразу два типа угроз: вредоносную рекламу и скрытое мошенничество с показами рекламы. В результате злоумышленники создали самоподдерживающийся цикл, который затронул миллионы пользователей операционной системы Android.
Описание
Согласно информации, опубликованной исследователями, инфраструктура Trapdoor включает 455 вредоносных приложений и 183 домена, которые злоумышленники использовали в качестве командных центров (C2 - серверов управления). Пик активности схемы пришёлся на период, когда ежедневно генерировалось 659 миллионов запросов на показ рекламы. В общей сложности приложения, связанные с этой операцией, пользователи скачали более 24 миллионов раз. При этом схема продолжает развиваться: по словам экспертов, они находят новые приложения и домены даже в процессе подготовки отчёта.
Исследователи из HUMAN описали механизм Trapdoor как многоступенчатый конвейер. Всё начинается с внешне безобидных утилит - например, программ для просмотра PDF-файлов, очистки памяти или управления файлами. Пользователи устанавливают их из магазина приложений, не подозревая об опасности. На этом этапе вредоносное поведение не проявляется: приложение ведёт себя абсолютно легитимно. Однако после установки начинается второй этап - вредоносная реклама.
Приложение показывает рекламные объявления, которые утверждают, что текущая версия устарела или больше не поддерживается. В объявлении есть кнопка, якобы ведущая к обновлению. На деле нажатие приводит к загрузке другого приложения, также принадлежащего злоумышленникам. Именно это второе приложение и выполняет всю грязную работу.
Ключевая особенность Trapdoor - использование инструментов атрибуции установок. Это технология, которую легитимные маркетологи применяют для отслеживания того, как пользователи находят приложения. Злоумышленники встроили в код своих программ обращения к платформе атрибуции. Приложение проверяет, был ли пользователь привлечён через рекламную кампанию злоумышленников, или установил программу органически (то есть самостоятельно нашёл её в магазине). Если установка была органической, вредоносная активность не запускается. Это позволяет обходить внимание исследователей безопасности, которые обычно загружают приложения напрямую и видят только безобидное поведение. Активность включается только у тех пользователей, которые пришли по рекламным ссылкам мошенников.
После активации вредоносной составляющей приложение запускает скрытый компонент WebView - встроенный браузер, который загружает HTML5-сайты, принадлежащие злоумышленникам. WebView настроен так, чтобы работать незаметно для пользователя: он не отображается на экране, но в фоне загружает рекламные объявления. В приложении зашифрованы файлы с координатами касаний, временными задержками и жестами (смахивания, длительные нажатия). Через системный метод dispatchTouchEvent программа эмулирует реалистичные действия человека на экране - клики по рекламным баннерам. Эти клики происходят в автоматическом режиме, имитируя поведение живого пользователя.
Монетизация работает через HTML5-сайты, на которых размещаются рекламные объявления. Такая инфраструктура, как отмечают эксперты, уже встречалась в других мошеннических операциях - SlopAds, Low5 и BADBOX 2.0. Везде использовались игровые или новостные HTML5-сайты как способ вывода денег. Это указывает на то, что злоумышленники активно обмениваются инструментарием или принадлежат к одним и тем же группировкам.
Помимо атрибуции, разработчики Trapdoor применили множество методов защиты от анализа. Вредоносные приложения проверяют, не установлен ли на устройстве рут-доступ, не включён ли режим отладки, не используется ли VPN-соединение. Эти проверки нацелены как раз на исследователей, которые при обратной разработке часто применяют VPN и перехватчики трафика. Кроме того, код упакован с помощью нативного упаковщика, использующего виртуализацию и шифрование строк. Это сильно затрудняет статический анализ. В некоторых вариантах злоумышленники даже маскировали вредоносные классы под легитимные рекламные SDK - библиотеки, которые разработчики используют для интеграции рекламы.
Последствия такой схемы выходят далеко за рамки финансовых потерь рекламодателей. Trapdoor подрывает доверие ко всей экосистеме цифровой рекламы. Рекламодатели платят за несуществующие клики и показы, а честные разработчики приложений теряют доход из-за искажения статистики. Более того, пользователи, скачавшие вредоносные программы, оказываются в уязвимом положении: их устройства могут быть использованы для скрытых операций без их ведома.
На данный момент компания HUMAN уже развернула меры защиты в своём портфеле продуктов для борьбы с рекламным мошенничеством. Клиенты, использующие решения Ad Fraud Defense и Ad Click Defense, защищены от воздействия Trapdoor. Однако злоумышленники продолжают публиковать новые приложения и менять домены, поэтому исследователи призывают к постоянному мониторингу. Операция Trapdoor - яркий пример того, как мошенники адаптируются, превращая инструменты самой экосистемы в оружие против неё.
Индикаторы компрометации
