Malware Cynos z AppGallery przeniknęło przynajmniej 9.3 miliony urządzeń z Androidem
Eksperci Doctor Web wykryli złośliwe oprogramowanie Cynos (Android.Cynos.7.origin) w oficjalnym sklepie z aplikacjami dla urządzeń Huawei, Galeria aplikacji. W całości, Aplikacje zainfekowane przez Cynos (zazwyczaj gry) zostały zainstalowane więcej niż 9.3 milion razy.
Naukowcy piszą, że Android.Cynos.7.origin jest jedną z modyfikacji Cynos moduł oprogramowania, który jest przeznaczony do osadzania w aplikacjach na Androida w celu zarabiania na nich.
Ta platforma jest znana co najmniej od 2014. Niektóre z jego wersji mają dość agresywną funkcjonalność: wysyłają SMS-y na numery premium i przechwytują przychodzące SMS-y, pobierz i uruchom różne moduły, oraz pobierz i zainstaluj inne aplikacje.
W nowej wersji znalezionej w AppGallery, główne funkcje to zbieranie informacji o użytkownikach i ich urządzeniach mobilnych, a także wyświetlanie reklam.
Cynos został znaleziony w 190 gry znajdujące się w katalogu AppGallery. Wśród nich są różne symulatory, platformówki, arkady, strategie i strzelanki z liczbą instalacji od kilku tysięcy do kilku milionów. W całości, zostały pobrane przez co najmniej 9,300,000 użytkownicy (liczba instalacji została obliczona na podstawie wartości pobierania dla każdej aplikacji opublikowanej w AppGallery).
Niektóre z gier były skierowane do odbiorców rosyjskojęzycznych, miał zlokalizowane tytuły i opisy w języku rosyjskim. Inni kierowali się do chińskich lub międzynarodowych odbiorców.
Aby trojan uzyskał dostęp do określonych danych, po uruchomieniu zainfekowanych aplikacji, Trojan prosi użytkowników o pozwolenie na kontrolowanie połączeń telefonicznych.
W przypadku uzyskania niezbędnych praw, trojan zbiera i przesyła do zdalnego serwera następujące informacje:
- numer telefonu komórkowego użytkownika;
- lokalizacja urządzenia, który jest określany na podstawie współrzędnych GPS lub danych z sieci komórkowej i punktu dostępu Wi-Fi (czy aplikacja ma uprawnienia dostępu do określania lokalizacji);
- różne parametry sieci komórkowej, takie jak kod sieci, mobilny kod kraju, i jeśli masz pozwolenie na dostęp do lokalizacji, identyfikator stacji bazowej i międzynarodowy identyfikator obszaru lokalizacji;
- różne parametry techniczne urządzenia;
- różne parametry z metadanych aplikacji, w której osadzony jest trojan.
Chociaż wyciek informacji o numerze komórkowym na pierwszy rzut oka może wydawać się drobnym problemem, eksperci piszą, że w rzeczywistości może to prowadzić do poważnych negatywnych konsekwencji dla użytkowników, zwłaszcza biorąc pod uwagę fakt, że dzieci były główną grupą docelową zainfekowanych aplikacji.
Jako przypomnienie, pisaliśmy też o SharkBot Trojan na Androida kradnie kryptowalutę i włamuje się do kont bankowych.
