224 ứng dụng Android độc hại vừa bị xóa

Được biết các ứng dụng Android độc hại này là một phần chiến dịch gian lận quảng cáo quy mô lớn mang tên SlopAds, được phát hiện bởi nhóm Satori Threat Intelligence thuộc công ty HUMAN.

Theo ghi nhận, các ứng dụng đã được tải xuống hơn 38 triệu lần và sử dụng các kỹ thuật che giấu tinh vi để tránh bị phát hiện bởi Google và các công cụ bảo mật.

Chiến dịch SlopAds đã thu hút người dùng từ 228 quốc gia với lượng hiển thị quảng cáo cao nhất đến từ Mỹ (30%) sau đó là Ấn Độ (10%) và Brazil (7%). Gian lận quảng cáo tromg chiến dịch này bao gồm nhiều chiến thuật để tránh bị phát hiện. Nếu người dùng sử dụng cài đặt ứng dụng SlopAds từ Play Store mà không qua quảng cáo của chiến dịch thì ứng dụng sẽ hoạt động bình thường. Tuy nhiên, nếu ứng dụng được cài qua các liên kết quảng cáo, phần mềm sẽ sử dụng Firebase Remote Config để tải xuống tệp cấu hình mã hóa chưa URL cho mô-đun phần mềm độc hại.

Sau khi xác định được thiết bị hợp lệ, ứng dụng sẽ tải xuống 4 hình ảnh PNG được mã hóa để che giấu các phần của APK độc hại. Những hình ảnh này sau đó sẽ được giải mã và lắp ráp lại để tạo thành phần mềm độc hại "FatModule" được sử dụng để thực hiện gian lận quảng cáo. Khi được kích hoạt, FatModule sẽ thu thập thông tin thiết bị và trình duyệt, sau đó điều hướng đến các tên miền gian lận do kẻ tấn công kiểm soát, tạo ra hơn 2 tỷ lượt hiển thị và nhấp chuột quảng cáo gian lận mỗi ngày.

HUMAN cho biết cơ sở hạ tầng của chiến dịch bao gồm nhiều máy chủ chỉ huy và kiểm soát cùng hơn 300 tên miền quảng cáo liên quan, cho thấy kẻ tấn công có thể mở rộng quy mô hoạt động. 

Được biết, Google đã xóa hết tất cả các ứng dụng SlopAds khỏi Play Store và cập nhật Google Play Protect để cánh báo người dùng gỡ cài đặt bất kỳ ứng dụng nào có trên thiết bị. Tuy nhiên, HUMAN cảnh báo, kẻ tấn công có thể tiếp tục điều chỉnh kế hoạch để thực hiện các cuộc tấn công trong tương lai.