O noua tulpina malware, denumita CopyCat, a infectat peste 14 milioane de dispozitive Android din intreaga lume, deturnand aplicatiile pentru a genera venituri de milioane din publicitate, au declarat cercetatorii CheckPoint joi.
Desi majoritatea victimelor sunt din Asia, peste 280.000 de dispozitive Android din SUA au fost lovite de hac-ul masiv. Google a urmarit malware-ul pentru ultimii doi ani si a actualizat Play Protect pentru a bloca CopyCat, insa milioane de victime sunt lovite prin descarcarea de terte aplicatii si atacuri phishing.
Nu exista nicio dovada ca CopyCat a fost distribuit pe Google Play, potrivit CheckPoint.
"Play Protect ofera siguranta utilizatorilor si orice aplicatii ar fi putut fi infectate cu CopyCat, nu au fost distribuite prin Play", a declarat Google.
CopyCat pretinde ca este o aplicatie populara. Odata descarcat, acesta colecteaza date despre dispozitivul infectat si descarca rootkit-uri pentru a ajuta la root-ul telefonului, in principal deconectandu-l de la sistemul sau de securitate.
De aici incolo, CopyCat poate descarca aplicatii false si deturna Zygote-ul dispozitivului - lansatorul fiecarei aplicatii din telefon. Odata ce controleaza Zygote, cunoaste fiecare aplicatie pe care ati descarcat-o, precum si fiecare aplicatie pe care ati deschis-o.
CopyCat poate inlocui Refferer ID-ul aplicatiilor dvs. cu propriul ID, asa incat fiecare anunt care apare in aplicatii va trimite venituri hackerilor, iar nu creatorilor aplicatiilor. Din cand in cand, CopyCat va afisa propriile anunturi.
Au existat aproape 1,4 milioane de aplicatii false instalate pe dispozitivele afectate, afisand pana la 100 milioane de anunutri. In doar doua luni, CopyCat a ajutat hackerii sa obtina peste 1,5 milioane de dolari, a estimat CheckPoint.
Malware-ul verifica, de asemenea, daca dispozitivul infectat este in China. Victimele din China sunt crutate de la atacul cibernetic, iar cercetatorii CheckPoint cred ca acest lucru se datoreaza faptului ca infractorii cibernetici sunt chinezi si incearca sa evite orice ancheta a politiei.
Desi nu exista dovezi directe in privinta persoanei care se afla in spatele atacului, au existat cateva legaturi intre CopyCat si o reteaua chineza de anunturi MobiSummer. Malware-ul si compania de publicitate opereaza pe acelasi server, iar cateva linii din codul virusului sunt semnate de catre MobiSummer. Cele doua folosesc, de asemenea, aceleasi servicii la distanta.
Majoritatea victimelor sunt din india, Pakistan, Bangladesh, Indonezia si Myanmar. Peste 381.000 de dispozitive din Canada au fost infectate cu CopyCat.
Malware-ul mobil s-a raspandit prin intermediul a cinci exploit-uri care au lovit dispozitivele ruland pe Android 5.0 si versiunile anterioare si a fost descoperit si remediat in urma cu peste doi ani de zile. Utilizatorii Android cu dispozitive mai vechi sunt inca vulnerabili la ataca, daca descarca aplicatii din terte magazine de aplicatii.
"Aceste exploit-uri vechi sunt inca eficiente deoarece utilizatorii nu aplica frecvent patch-uri, uneori chiar deloc", a declarat CheckPoint.
Google a declarat ca si dispozitivele mai vechi sunt protejate de CopyCat prin folosirea Play Protect, care este actualizat in mod regulat, deoarece tulpinile malware, cum ar fi CopyCat, continua sa creasca.
