56款恶意Google Play App引爆170多万台Android设备中毒风险

Google旗下官方Android应用程序库Google Play再次被发现托管许多诈骗与潜在性恶意App,经调查发现超过56款App(有许多App适用儿童)安装在近170万台设备。

Tekya是有一系列家族的恶意软件,会在Google AdMob、AppLovin、Facebook和Unity等机构发出的广告及横幅式广告产生诈骗式点击(Fraudulent Click)。为了使这些点击给人真实合法的感受,经最佳模糊化的程序代码会促使感染的设备通过Android“MotionEvent”事件处理机制,模拟合法的用户行为。

安全公司Check Point研究人员发现这些恶意App时,VirusTotal和Google Play Protect并未侦测到。其中24款专门给儿童用的App发现内置Tekya病毒。Google接获Check Point通报后删除了所有56款App。

这发现“再次突显Google Play商店仍不时上架许多恶意App”。Check Point研究人员Israel Wernik、Danil Golubenko和Aviran Hazum在24日发布的贴文写道:“Google Play提供近300万款App,光每天就有数百款全新App上架,这使检查每款App是否安全的例行性工作更困难。因此,用户绝对不能只靠Google Play的安全措施确定设备受保护。”

通过原生码编写规避侦测

为了让恶意行为更难侦测,这些恶意App会使用原生Android码编写(通常使用C和C ++ 程序语言编写)。Android App通常使用Java执行逻辑。语言接口提供开发人员访问多层抽象化的便利性,相反的,原生码会在更低端层执行。尽管Java很容易反编译(将二进制码转换回人类可读之源码的程序),但通过原生码很难做到这点。

一旦安装Tekya App,App会注册广播接收器(Broadcast Receiver),并执行以下多种操作:

此广播接收器的唯一目的是为了将原生函数库“libtekya.so”加载每款App .apk档内的“libraries”文件夹。Check Point贴文提供有关此程序代码运行方式的更多技术细节。Google官方代表确认此App已从Play商店移除。

恶意软件的App下载70多万次

再者,杀毒方案供应商Dr.Web于24日安全报告指出,发现数量不详的Google Play App潜藏名为Android.Circle.1的恶意软件,这些App下载超过70万次。此恶意软件使用基于BeanShell脚本语言的程序代码,并结合广告软件和点击诈骗(Click-Fraud)功能。这款经过18次变种修改的恶意软件可用来发动网络钓鱼攻击(Phishing Attack)。

Dr.Web贴文并未列出所有内置Android.Circle.1病毒的App名称。少数确认的App包括Wallpaper Black(Dark Ba​​ckground)、Horoscope 2020(Zodiac Horoscope)、Sweet Meet、Cartoon Camera与Bubble Shooter。Google已将Dr.Web通报的所有App删除。同时Check Point发现的56款App也清楚详列于Check Point贴文。

Android设备通常会在发现App感染恶意软件后卸载,但机制并非始终按预期运行。读者可能需要检查自己的设备,以查看是否感染病毒。一如既往,读者应该能对安装的App拥有高度选择性。虽然毫无疑问,Google扫描机制可侦测到大量已提交Play商店的恶意App,但仍有大量用户持续遭避开这些检查机制的恶意软件感染。

(首图来源:Google Play)

发表评论