Рекламный троянец проник в прошивку Android

Рекламный троянец проник в прошивку Android

Рекламный троянец проник в прошивку Android

Многие современные Android-троянцы предназначены для показа навязчивой рекламы, а также установки всевозможного ПО на мобильные устройства. С их помощью вирусописатели получают неплохую прибыль, поэтому неудивительно, что число подобных вредоносных программ растет. 

Один из таких троянцев, исследованный в марте специалистами «Доктор Веб», был найден в прошивках около 40 Android-устройств. Кроме того, он был обнаружен и в нескольких приложениях от известных компаний.

Троянец, получивший имя Android.Gmobi.1, представляет собой специализированный программный пакет (SDK-платформу), который расширяет функциональные возможности Android-приложений и используется как производителями мобильных устройств, так и разработчиками ПО. В частности, этот модуль предназначен для дистанционного обновления операционной системы, сбора аналитических данных, показа различных уведомлений (в том числе рекламы) и осуществления мобильных платежей. Однако несмотря на кажущуюся безобидность,Android.Gmobi.1 во многом ведет себя как типичный троянец, поэтому содержащие его программы детектируются антивирусными продуктами Dr.Web для Android как вредоносные. На текущий момент специалисты компании «Доктор Веб» обнаружили этот SDK в предустановленном системном ПО почти 40 популярных мобильных устройств, а также в приложениях TrendMicro Dr.Safety, TrendMicro Dr.Booster и Asus WebStorage, которые доступны для загрузки в каталоге Google Play. Все пострадавшие компании уже оповещены о возникшей проблеме и занимаются ее решением. Так, последние официальные версии программ TrendMicro Dr.Safety и TrendMicro Dr.Booster уже не содержат этого троянца, пишет drweb.ru.

 

Android.Gmobi.1

 

Android.Gmobi.1 имеет несколько модификаций, которые объединяет общий функционал – сбор и отправка на удаленный узел конфиденциальной информации. Например, версии троянца, которые встроены в приложения TrendMicro Dr.Safety и TrendMicro Dr.Booster, имеют только указанную шпионскую функцию, в то время как модификация, обнаруживаемая в прошивках мобильных устройств, является наиболее «продвинутой». О ней мы и расскажем более подробно.

При каждом подключении к Интернету или включении экрана зараженного смартфона или планшета (если перед этим экран был выключен более минуты) Android.Gmobi.1 собирает и отправляет на управляющий сервер целый ряд конфиденциальных данных, таких как:

  • email-адреса пользователя;
  • наличие роуминга;
  • текущие географические координаты на основе данных спутников GPS или информации мобильной сети;
  • подробную техническую информацию об устройстве;
  • страну нахождения пользователя;
  • наличие установленного приложения Google Play.

В ответ троянец получает от сервера конфигурационный файл в формате JSON (JavaScript Object Notation), который может содержать следующие управляющие команды:

  • сохранить в базу данных информацию о рекламе, которую необходимо показать пользователю;
  • создать рекламный ярлык на рабочем столе;
  • показать уведомление с рекламой;
  • показать уведомление, нажатие на которое приведет к запуску уже установленного на устройстве приложения;
  • загрузить и установить apk-файлы с использованием стандартного системного диалога или скрытно от пользователя, если для этого имеются соответствующие права.

Далее в соответствии с полученными командами вредоносная программа приступает к непосредственному выполнению своей основной вредоносной функции – показу рекламы, а также других действий, нацеленных на получение прибыли. В частности, троянец может продемонстрировать рекламу следующих типов:

  • реклама в панели уведомлений;
  • реклама в виде диалогового окна;
  • реклама в виде интерактивных диалоговых окон – при нажатии кнопки подтверждения происходит отправка СМС (при этом она выполняется только в том случае, если у приложения, в которое встроен вредоносный SDK, есть на это соответствующие права);
  • рекламный баннер поверх окон других приложений и графического интерфейса ОС;
  • открытие заданной страницы в веб-браузере или в приложении Google Play.

Кроме того, Android.Gmobi.1 способен автоматически запускать программы, уже установленные на устройстве, а также скачивать приложения по указанным злоумышленниками ссылкам, тем самым «накручивая» их популярность.

AdBlock в Chrome жив: специалисты не нашли минусов у Manifest v3

Вокруг Manifest v3 в Chrome было много шума: ожидалось, что новый стандарт для браузерных расширений всерьёз ударит по блокировщикам рекламы и трекеров. Но свежее академическое исследование показывает: паника, похоже, была преждевременной. Учёные из Университета имени Гёте во Франкфурте сравнили эффективность аддонов на базе старого Manifest v2 и нового Manifest v3.

Результаты они опубликовали в журнале Proceedings on Privacy Enhancing Technologies (PoPETs). И главный вывод звучит обнадёживающе: заметной разницы между MV2 и MV3 они не нашли.

По словам авторов исследования, Карло Лукича и Лазароса Пападопулоса, блокировка рекламы и трекеров в MV3 работает не хуже, чем в MV2. Более того, в отдельных сценариях расширения на базе Manifest v3 даже показывали небольшой плюс: в среднем они блокировали на 1,8 трекера больше на каждом сайте.

Напомним, Google анонсировала Manifest v3 ещё в 2019 году, объясняя переход заботой о производительности и безопасности. Ключевым изменением стало отключение синхронного API chrome.webRequest, который позволял расширениям гибко перехватывать сетевой трафик. Вместо него появился асинхронный chrome.declarativeNetRequest — быстрее и безопаснее, но, как считали разработчики, куда менее гибкий.

Именно это изменение тогда и вызвало волну критики со стороны авторов блокировщиков рекламы. Многие опасались, что Google просто защищает рекламную модель своего бизнеса. Однако, судя по результатам независимого исследования, реального «обрушения» не произошло.

Важно, что учёные тестировали расширения с настройками по умолчанию — так, как их использует большинство обычных пользователей. При этом они подчёркивают: исследование — это «срез во времени». Будущие изменения в Manifest v3, лимиты на правила фильтрации или другие правки теоретически могут повлиять на эффективность.

Отдельно авторы отмечают: сегодня уже нет веской причины выбирать браузер только ради поддержки старого Manifest v2, например Firefox. Косметические различия есть, но серьёзного удара по приватности они не увидели.

Впрочем, проблемы у экосистемы Chrome-расширений всё ещё остаются. Разработчики по-прежнему жалуются на медленные улучшения API и слабый контроль в Chrome Web Store. Тем не менее Google постепенно наводит порядок: появляются верифицированные загрузки, страницы издателей и более жёсткие правила против злоупотреблений с партнёрскими ссылками.

Кстати, недавно YouTube начал выводить ошибку «контент недоступен» из-за блокировщиков рекламы.

RSS: Новости на портале Anti-Malware.ru