Avastasime suuremahulise, aasta aega kestnud reklaamvara rünnaku, mille jooksul installiti ainuüksi Google Plays äppe kaheksa miljonit korda.

Tuvastasime 42 Google Play äppi, mida sai alla laadida alates 2018. aasta juulist. Nendest 21 olid ikka veel saadaval meie avastuse ajal. Teavitasime leitud rakendustest Google ’i turbetiimi ning nimetatud äpid eemaldati koheselt. Siiski on rakendused ikka veel saadaval kolmandates äpipoodides. Tuvastatud reklaamvara ühine nimetus on Android/AdDisplay.Ashas.

Joonis 1. ESETi poolt tuvastatud Android/AdDisplay.Ashas perekonna rakendused

Joonis 2. Android/AdDisplay.Ashas perekonna populaarseim liige Google Plays oli üle viie miljoni allalaadimisega Video downloader master

Ashasi funktsionaalsus

Kõik äpid pakuvad lisaks reklaamvarana toimimisele ka lubatud funktsionaalsusi. Reklaamvara funktsionaalsus on ühesugune kõikides analüüsitud rakendustes. Märkus: Allpool toodud funktsionaalsuse analüüs kirjeldab ühte äppi, ent kehtib kõikide Android/AdDisplay.Ashas perekonna rakenduste kohta.

Pärast käivitamist ühendub rakendus selle C&C serveriga (mille IP-aadress on rakenduses base64-kodeerituna). See edastab “kodu” põhiandmeid mõjutatud seadme kohta: seadme tüüp, OS versioon, keel, installitud äppide arv, vaba mäluruum, aku olek, info seadme juurdumise ja arendaja režiimi lubatavuse osas ning kas Facebook ja FB Messenger on installitud.

Joonis 3. Mõjutatud seadme kohta teabe edastamine

Äpp saab C&C serverilt konfiguratsiooniandmeid, mis on vajalikud varjamiseks, püsivuseks ja rakenduste kuvamiseks.

Joonis 4. C&C serverilt on saadud konfiguratsioonifail

Ründaja kasutab varjamiseks ja püsivuseks mitmeid nippe.

Esiteks, püüab pahatahtlik rakendus teha kindlaks, kas seda testib Google Play turbemehhanism. Selleks saab rakendus C&C serverilt isGooglelp väärtuse, mis näitab, kas mõjutatud seadme IP-aadress sobib tuntud Google’i serverite IP-aadresside vahemikku. Kui server tagastab väärtuse positiivsena, ei käivita rakendus reklaamvara nimikoormust.

Teiseks, rakendus võib seada reklaamide kuvamiste vahele kohandatud viivituse. Meie poolt uuritud näidiste konfiguratsioon oli seatud 24-minutilise viivitusega peale seadme avamist. Selline viivis indikeerib, et tüüpiline testimisprotseduur, mis kestab vähem kui 10 minutit, ei tuvasta soovimatut käitumist. Samuti, mida pikem on viivitus, seda väiksem on oht, et kasutaja seostab soovimatuid reklaame konkreetse rakendusega.

Kolmandaks, tuginedes serveri vastusele, võib äpp peita oma ikoone ja luua selle asemel otseteid. Kui tavakasutaja üritab pahatahtlikust äpist vabaneda, eemaldab ta tõenäoluselt ainult otsetee ning rakendus toimib edasi kasutaja teadmata. See varjamise tehnika on saanud populaarseks Google Play kaudu reklaamvaraga levitatavate ohtude seas.

Joonis 5. Reklaamvara poolt rakendatud reklaamide kuvamise ajaline viivitus

Kui pahatahtlik rakendus on saanud konfiguratsiooniandmeid, on mõjutatud seade valmis kuvama reklaame  vastavalt ründaja soovidele; igat reklaami kuvatakse täisekraanil. Kui kasutaja tahab teada kuvatava reklaami päritolu, klõpsates selleks valikule “Recent apps”, võetakse kasutusele järjekordne nipp: rakendus kuvab Facebooki või Google’i ikooni, nagu on näha joonisel 6. Reklaamvara jäljendab neid kahte rakendust, et näida õige ja vältida kahtlusi  ning püsida mõjutatud seadmes võimalikult kaua.

Joonis 6. Reklaamvara tegevus imiteerib Facebooki (vasakul). Kui kasutaja vajutab ikoonile pikalt, kuvatakse tegevuse eest vastutava rakenduse nimi (paremal).

Lõpuks on Ashasi perekonna reklaamvara peitnud oma koodi com.google.xxx paketi nime taha. Näidates end Google’i teenuse osana võib pääseda liigsest kontrollist. Mõned tuvastamismehhanismid ja liivakastid võiva ressursside raiskamise ennetamiseks märkida nimetatud paketi nimed lubatuks.

Joonis 7. “com.google” paketti peidetud pahatahtlik kood

Arendaja jahtimine

Reklaamvara arendaja tuvastmiseks kasutasime avatud lähtekoodiga teavet. Arendaja osutus ka rünnaku operaatoriks ja C&C serveri omanikuks. Järgmistes lõikudes kirjeldame oma püüdlusi sama arendaja teiste rakenduste leidmises ja meie kasutajate kaitsmises.

Esiteks, tuvastasime registreeritud C&C domeeniga seotud teabe põhjal registreerija nime koos täiendavate andmetega, nagu riik ja e-posti aadress, nagu on näha jooniselt 8.

Joonis 8. Teave Ashasi reklaamvara poolt kasutatava C&C domeeni kohta

Teades, et domeeni registripidajale edastatud teave võib olla võlts, jätkasime oma otsinguid. E-posti aadress ja riik viisid meid Vietnami Ülikoolis õpivate üliõpilaste nimekirjani – see kinnitab domeeni registreerimisel kasutatud isiku olemasolu.

Joonis 9. C&C domeeni registreerijat sisaldav ülikooli õpperühma tudengite nimekiri

Meie ründaja ülikooli räige eraelu puutumatuse tava rikkumise tõttu teame nüüd isiku sünnikuupäeva (tõenäoliselt: täiendava kinnitusena, saime teada, et isik kasutas näiliselt oma sünniaastat Gmaili aadressi osana), teame, et isik oli tudeng ning ka ülikooli, kus isik õppis. Saime kinnitust ka tema poolt edastatud telefoninumbri õigsuses. Lisaks saime ka tema ülikooli ID; kiire googeldamine näitas meile osa tema eksami hindeid. Tema õppetulemused jäävad siiski meie uuringu ulatusest välja.

Tuginedes meie süüdlase e-posti aadressile, suutsime leida tema GitHubi hoidla, mis tõestas, et ta on tõepoolest Androidi arendaja, ent see ei sisaldanud selle blogipostituse kirjutamise hetkel avalikult kättesaadavat Ashasi reklaamvara koodi.

Ent reklaamvara paketi nime kiire Google’i otsing andis vasteks projekti “TestDelete”, mis oli mingil hetkel tema hoidlas ka saadaval

Pahatahtlikul arendajal on äpid ka Apple’i App Store’is. Mõned nendest on iOS versioonid Google Playst eemaldatud äppidest, ent ükski ei sisalda reklaamvara funktsionaalsust.

Joonis 10. App Store’is avaldatud pahatahtliku arendaja rakendused, mis ei sisalda Ashasi reklaamvara

Otsides edasi arendaja toiminguid, leidsime ka tema Youtube’i kanali, mis levitab Ashasi reklaamvara ja muid tema projekte. Mis aga puudutab Ashasi perekonda, siis reklaamvideot “Head Soccer World Champion 2018 – Android, ios” vaadati peaaegu kolm miljonit korda ja kahte teist videot vaadati sadu tuhandeid kordi, nagu on näha jooniselt 11.

Joonis 11. Pahatahtliku arendaja YoutTube’i kanal

Tema YouTube’i kanal andis meile veel väärtuslikku teavet: kasutaja osales enda projekti õppevideos. Tänu sellele projektile saime teada tema Facebooki profiili, kus on infot ka tema õpingute kohta eelnimetud ülikoolis.

Joonis 12. C&C domeeni registreerija Facebooki profiil (peapilt ja profiilipilt on eemaldatud)

Pahatahtliku arendaja Facebooki profiilil avastasime Facebooki lehe, Minigameshouse ning sellega seonduva domeeni minigameshouse[.]net. Antud domeen sarnaneb kasutaja reklaamvaras kasutatud C&C kommunikatsioonile, minigameshouse[.]us.

Kontrollides Minigameshouse lehte selgub, et kasutaja on tõepoolest domeeni minigameshouse[.]us omanik: domeeni registreetimisel kasutatud number on sama, mida kuvab ka kasutaja Facebooki leht.

Joonis 13. C&C domeeni registreerija hallatav Facebooki leht kasutab  Ashasi reklaamvara poolt registreeritud pahatahtliku C&C-ga  sama baasdomeeninime (minigameshouse) ja telefoninumbrit

Huvitav on asjaolu, et Minigameshouse’i Facebooki lehel reklaamib pahatahtlik arendaja nii Google Plays kui ka App Store’is allalaadimiseks Ashasi perekonna väliseid mänge. Ometi eemaldati kõik mängud Google Playst – vaatamata asjaolule, et osa mänge ei sisaldanud reklaamvara funktsionaalsust.

Lisaks kõigele muule, on üks arendaja YouTube’i videotest – “Instant Game’i” väljatöötamise õpetus Facebooki jaoks – näide täielikust talitluskindluse eiramisest. Nägime, et tema viimati külastatud veebilehed olid Ashasi reklaamvara sisaldavad äppide lehed Google Plays. Ründaja kasutas ka oma e-posti kontot, et logida videos sisse mitmetesse teenustesse, mis identifitseerib teda ilma igasuguse kahtluseta  reklaamvara domeeni omanikuna.

Tänu videole suutsime tuvastada veel kolm äppi, mis sisaldasid reklaamvara funktsionaalsust ja olid saadaval Google Plays.

Joonis 14. Ekraanipilt arendaja YouTube’i videost on näha Ashasi reklaamvara vaatamist Google Plays

ESET telemeetria

Joonis 15. ESETi tuvastatud Androidi seadmete Android/AdDisplay.Ashas reklaamvara riikide kaupa

Kas reklaamvara on kahjulik?

Kuna reklaamvara sisaldavate rakenduste tegelik olemus on tavakasutajate eest varjatud, tuleks pidada neid rakendusi ja nende arendajaid ebausaldusväärseteks. Seadmesse installituna võivad reklaamvara sisaldavad äpid muuhulgas:

• Tüütada kasutajaid pealetükkivate reklaamidega, sealhulgas petureklaamidega
• Raisata seadme akuressursse
• Tekitada suuremat võrguliiklust
• Koguda kasutaja isiklikku teavet
• Varjata oma olemasolu püsivuse saavutamiseks
• Teenida kasutaja sekkumiseta tulu oma operaatorile

Kokkuvõte

Tuginedes ainult avatud lähtekoodi intelligentsusele, suutsime tuvastada Ashasi reklaamvara arendaja, teha kindlaks tema identiteedi ja avastada täiendavaid reklaamvaraga nakatunud rakendusi. Nähes, et arendaja ei püüdnud oma identiteeti varjata, tundub tõenäoline, et tema kavatsused polnud algselt pahatahtlikud – seda kinnitab ka asjaolu, et mitte kõik tema poolt avaldatud äpid sisaldasid soovimatut reklaami.

Oma Google Play “karjääri” teatud hetkel otsustas ta ilmselt kasvatada oma reklaamitulu, lisades reklaamvara funktsionaalsuse oma rakenduste koodidesse. Rekmlaamvaras kasutatud erinevad varjamise ja püsivuse meetodid näitavad meile, et süüdlane oli lisatud funktsioonalsuse pahatahtlikkusest teadlik ja püüdis seda varjata.

Soovimatute või kahjulike funktsioonide sisse nihverdamine populaarsetesse ja healoomulistesse äppidesse on “halbade” arendajate seas levinud tava ning me oleme pühendunud nimetatud rakenduste leidmisele.  Lõpetuseks lisame, et avaldame kõik oma leiud, et aidatada Androidi kasutajatel end kaitsta.

Rünnaku näitajad (IoCs)

C&C server

MITRE ATT&CK tehnikad

Kiitus @jaymin9687-le juhtimast meie tähelepanu rakenduses “Video downloader master” kuvatavate soovimatute reklaamide probleemile

Allikas: Welivesecurity