Cynos-malware van AppGallery is op zijn minst geïnfiltreerd 9.3 miljoen Android-apparaten
Doctor Web-experts hebben Cynos-malware gedetecteerd (Android.Cynos.7.oorsprong) in de officiële app store voor Huawei-apparaten, AppGallery. In totaal, Cynos-geïnfecteerde toepassingen (meestal spelletjes) zijn meer dan geïnstalleerd 9.3 miljoen keer.
De onderzoekers schrijven dat Android.Cynos.7.origin een van de aanpassingen is aan de Cynos softwaremodule, die is ontworpen om te worden ingesloten in Android-applicaties om er geld mee te verdienen.
Dit platform is in ieder geval bekend sinds 2014. Sommige van zijn versies hebben nogal agressieve functionaliteit: ze sturen sms-berichten naar premium nummers en onderscheppen inkomende sms, download en start verschillende modules, en download en installeer andere applicaties.
In de nieuwe versie gevonden in AppGallery, de belangrijkste functies zijn het verzamelen van informatie over gebruikers en hun mobiele apparaten, evenals het weergeven van advertenties.
Cynos is gevonden in 190 games in de AppGallery-catalogus. Onder hen zijn verschillende simulatoren, platformgames, arcades, strategieën en shooters met het aantal installaties van enkele duizenden tot enkele miljoenen. In totaal, ze zijn gedownload door ten minste 9,300,000 gebruikers (het aantal installaties is berekend op basis van de downloadwaarden voor elke applicatie die is gepubliceerd in AppGallery).
Sommige games waren gericht op Russisch sprekend publiek, had gelokaliseerde titels en beschrijvingen in de Russische taal. Anderen richtten zich op een Chinees of internationaal publiek.
Om ervoor te zorgen dat de Trojan toegang krijgt tot bepaalde gegevens, wanneer geïnfecteerde toepassingen worden gestart, Trojan vraagt gebruikers om toestemming om telefoongesprekken te beheren.
Als de benodigde rechten zijn verkregen, de Trojan verzamelt en verzendt de volgende informatie naar de externe server::
- het mobiele telefoonnummer van de gebruiker;
- apparaat locatie, die wordt bepaald op basis van GPS-coördinaten of gegevens van een mobiel netwerk en een wifi-toegangspunt (als de applicatie toestemming heeft om toegang te krijgen tot locatiebepaling);
- verschillende parameters van het mobiele netwerk, zoals netwerkcode, mobiele landcode, en als je toestemming hebt om de locatie te betreden, de ID van het basisstation en de internationale ID van het locatiegebied;
- verschillende technische kenmerken van het apparaat;
- verschillende parameters uit de metadata van de applicatie waarin de trojan is ingesloten.
Hoewel het lekken van informatie over een mobiel nummer op het eerste gezicht een klein probleem lijkt, experts schrijven dat het in werkelijkheid kan leiden tot ernstige negatieve gevolgen voor gebruikers, vooral gezien het feit dat kinderen de belangrijkste doelgroep van geïnfecteerde applicaties waren.
Als een herinnering, we schreven ook over SharkBot Android-trojan steelt cryptovaluta en hackt bankrekeningen.
