En massiv annonsbedrägerikampanj för Android, kallad SlopAds, har stoppats sedan det upptäckts att 224 skadliga appar på Google Play genererade 2,3 miljarder annonsförfrågningar per dag.
Kampanjen avslöjades av HUMAN:s Satori Threat Intelligence-team, som rapporterar att apparna laddades ner mer än 38 miljoner gånger. För att dölja sitt beteende från Google och säkerhetsverktyg använde de både obfuskering och steganografi.
Bedrägeriet hade global spridning, med installationer från 228 olika länder. Den största mängden falska annonsvisningar kom från USA (30 procent), följt av Indien (10 procent) och Brasilien (7 procent).
Massproducerade
Forskarna gav operationen namnet SlopAds eftersom apparna verkade massproducerade, på samma sätt som ”AI-slop”, och för att hotaktörernas servrar innehöll flera AI-relaterade applikationer och tjänster.
Annonsbedrägeriet byggde på flera olika metoder för att undvika upptäckt i Googles granskningsprocess och i säkerhetsprogram.
En användare som laddade ner en app direkt via Play Store, utan att ha klickat på någon av kampanjens annonser, fick en app som fungerade normalt med den utlovade funktionen. Vid installation efter klick på en av kampanjens annonser laddade appen ner en krypterad konfigurationsfil via Firebase Remote Config. Den filen innehöll adresser till både den skadliga annonsmodulen, betalningsservrar och en JavaScript-kod.
Appen kontrollerade om den kördes på en riktig användares enhet eller om den analyserades av forskare eller säkerhetsprogram. Efter genomförda kontroller laddade appen ner fyra PNG-bilder som med hjälp av steganografi dolde delar av ett skadligt APK-paket. Bilderna dekrypterades och sattes ihop på enheten till en komplett modul med namnet FatModule.
Samla in information
När FatModule aktiverades användes dolda WebViews för att samla in information om enhet och webbläsare. Modulen navigerade därefter till annonsdomäner som kontrollerades av angriparna. Domänerna låtsades vara spel- eller nyhetssajter och serverade annonser i dolda webbfönster för att generera mer än två miljarder falska annonsvisningar och klick varje dag, vilket gav intäkter till de som låg bakom attacken.
Enligt HUMAN omfattade kampanjens infrastruktur många kommandoservrar och över 300 relaterade domäner. Uppgifterna tyder på att hotaktörerna planerade att expandera bortom de 224 identifierade apparna.
Google har tagit bort alla kända SlopAds-appar från Play Store. Androids Google Play Protect har uppdaterats för att varna användare som fortfarande har någon av apparna installerad.
HUMAN varnar för att den avancerade metoden tyder på att de ansvariga sannolikt kommer att anpassa sin attack och försöka igen i framtiden.
Källa:
Bleeping Computer
Läs mer
Dags att tala om elefanten i rummet – Googles snokande och bristande säkerhet
