لابراتوار کسپرسکی: شیوع روزافزون بدافزارها در گوگل پلی و خطراتی که برای کاربران به همراه دارد!

 روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛دو سال گذشته در ماه اکتبر 2015 ما مقاله ای در مورد یک بدافزار محبوب منتشر ساختیم که در فروشگاه گوگل پلی توزیع شده بود. ما طی دو سالی که پشت سر گذاشتیم مجددا مشابه این بدافزار را در فروشگاه گوگل پلی شناسایی کردیم اما در اکتبر و نوامبر سال 2017، 85 برنامه ی مخرب در گوگل پلی شناسایی کردیم که توانسته بودند اعتبار نامه ها را از اپلیکیشن VK.com به سرقت ببرند. تمامی برنامه های مخرب توسط راهکارهای امن لابراتوار کسپرسکی به عنوان Trojan-PSW.AndroidOS.MyVk.o شناسایی شدند. ما 72 گونه از آن ها را به گوگل گزارش دادیم و این برنامه های مخرب از گوگل پلی حذف گردیدند و 13 برنامه ی دیگر نیز قبل از آن حذف شده بودند. علاوه بر این، ما این سرقت را با جزئیات فنی به VK.com گزارش دادیم. یکی از برنامه ها در گوگل پلی در پشت یک برنامه ی بازی پنهان شده بود و بیش از یک میلیون بار از فروشگاه گوگل دانلود شده بود.

برخی از اپلیکیشن های محبوب دیگر بین برنامه های مخرب وجود داشت که هفت برنامه از بین آن ها 10.000 تا 100.000 بار و نه برنامه بین 1000 تا 10.000بار از گوگل پلی دانلود و توسط کاربران نصب شده بود. برنامه های دیگر کمتر از 1000 بار توسط کاربران دانلود و نصب شده بودند.

برنامه های مخرب روی فروشگاه گوگل پلی با عنوان Trojan-PSW.AndroidOS.MyVk.o شناسایی شدند.

اکثر این برنامه ها در اکتبر سال 2017 در گوگل پلی آپلود شدند قابل ذکر است که چندین برنامه ی دیگر از بین آن ها در ماه های قبل یعنی ژوئیه در این فروشگاه آپلود شده بودند، یعنی توزیع برخی از آن ها در سه ماه قبل انجام شده بود. نکته ی قابل توجه اینجا است که محبوب ترین برنامه ها در ابتدای ماه مارس 2017 به فروشگاه گوگل پلی اضافه و در آن جا آپلود شدند، در آن زمان هیچ کد مخربی بر روی این برنامه ها وجود نداشت و فقط بازی بودند. مجرمان سایبری در ماه اکتبر برنامه های آپلود شده را با نسخه های مخرب به روز کردند و 7 ماه برای نتیجه دادن این عمل مخربانه انتظار کشیدند!

تمامی برنامه های مخرب همانند اپلیکیشن VK.com به نظر می آمدند، این برنامه ها برای گوش دادن به موسیقی یا نظارت بر بازبینی صفحات کاربر مورد توجه کاربران قرار گرفتند.

بی شک چنین برنامه هایی به یک کاربر برای ورود به حساب کاربری نیاز دارند، به همین دلیل است که به نظر کاربران مشکوک نمی آیند. تنها برنامه هایی که قابلیت های برنامه ی VK- را نداشتند، برنامه های واقعی و بی خطر بودند. زیرا VK در اکثر کشورهای غربی محبوب است مجرمان سایبری این محبوبیت را بی جواب نگذاشته اند و از اعتبارنامه های VK تنها برای کاربرانی با زبان های خاص روسی، اوکراینی، قزاق، ارمنی، آذربایجان، بلاروس، قرقیزستان، رومانیایی، تاجیک و ازبک استفاده کرده بودند.

بیش از دوسال بود که مجرمان سایبری برنامه های مخرب خود را در گوگل پلی منتشر ساخته بودند بنابراین آن ها مجبور به تغییر کد های مخرب برای جلوگیری از شناسایی شدند.

این اپلیکیشن ها از یک VK SDK تغییر داده شده توسط کدهای فریب دهنده استفاده می کنند که کاربران می توانند به پیج استاندارد خود لاگین کنند اما مجرمان سایبری با استفاده از کدهای مخرب JS اعتبار نامه را از بخش لاگین پیج می گیرند و آن ها را به برنامه ی دیگری منتقل می کنند.

پس از آن اعتبارنامه ها رمزنگاری و در وب سایت های آلوده آپلود می شوند.

نکته‌ی جالبی که وجود دارد این است که اگر چه بسیاری از این برنامه های مخرب دارای ویژگی های توصیف شده ای بودند اما برخی از آن ها تفاوت هایی نیز داشتند. آن ها همچنین از کدهای OnPageFinished استفاده کردند که نه تنها برای استخراج اعتبار بلکه برای آپلود آن ها هم مورد استفاده قرار گرفتند.

تصور کلی ما در مورد این فریب این است که مجرمان  بیشتر از سرقت اعتبار نامه ها در VK.com  استفاده می کنند. آن ها به طور مخفیانه کاربران را به گروه های مختلف برای ترویج محبوبیت خود اضافه می کنند و از این راه در میان کاربران دیگر شهرت زیادی بدست می آوردند. ما این موضوع را از شکایات کاربران در مورد اینکه حساب های آن ها به چنین گروه هایی اضافه شده است، دریافته ایم.

دلیل دیگر برای فکر کردن به این موضوع این است که ما چندین برنامه را در گوگل پلی یافتیم که توسط همان مجرمان سایبری با عنوان Trojan-PSW.AndroidOS.MyVk.o منتشر شده بود. مجرمان توانسته بودند یک برنامه ی غیر رسمی تگرام را برای کاربران که برنامه ی محبوب پیام رسان در میان کاربران بود را منتشر سازند. همگی آن ها توسط راهکارهای کسپرسکی به عنوان یک ویروس با نام HEUR:RiskTool.AndroidOS.Hcatam.a شناسایی شدند. ما در مورد این برنامه ها نیز به گوگل متذکر شدیم و آن ها را از فروشگاه گوگل پلی حذف نمودیم.

این برنامه ها نه تنها به شکل اپلیکشن های تلگرام تغییر ظاهر داده بودند بلکه با استفاده از منبع باز Telegram SDK ایجاد شده بودند و تقریبا مانند هر برنامه ی دیگری کار می کردند. فرق آن ها با تلگرام واقعی در این بود که کاربران برای ارتقاء گروه ها و چت ها به این اپلیکیشن ها افزوده می شدند. این برنامه ها لیستی با گروه ها یا چت ها را از سرور خود دریافت می کردند. علاوه بر این مجرمان قادرند کاربران را به گروه ها در هر زمان که مایل باشند، اضافه می‌کنند. برای این کار آن ها یک GCM token که به مجرمان اجازه می دهد تا دستورات 24/7 را ارسال کنند را به سرقت می برند.

مورد دیگری که ما در تحقیقات خود کشف کردیم در مورد آلودگی وب سایت extensionsapiversion.space. است. با توجه به آمار KSN کسپرسکی در برخی موارد مجرمان با استفاده از API برای  http://coinhive.com به ماینینگ کریپتوکارنسی ها پرداخته اند. 

منبع: کسپرسکی آنلاین(ایدکو)

کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکی، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکي نام دارد.