Tänapäeval on kõigeks olemas rakendus… eks? Noh, valitud telefoninumbri kõneloo otsimine ei kuulu nende asjade hulka, nagu potentsiaalselt miljonid Androidi kasutajad avastasid pärast seda, kui olid maksnud just seda lubava rakenduse tellimuse eest.

Need petturlikud rakendused, mille nimetasime nende valede väidete põhjal CallPhantomiks, väidavad pakkuvat juurdepääsu kõneajaloole, SMS-idele ja isegi WhatsAppi kõnelogidele mis tahes telefoninumbri puhul. Selle väidetava funktsiooni avamiseks palutakse kasutajatel maksta – kuid vastutasuks saavad nad vaid juhuslikult genereeritud andmeid.

Meie uurimise käigus tuvastasime Google Play poest 28 sellist petturlikku rakendust, mida on kokku alla laaditud üle 7,3 miljoni korra. App Defense Alliance’i partnerina teatasime oma leidudest Google’ile, kes eemaldas Google Playst kõik selles aruandes nimetatud rakendused.

Selle blogipostituse põhipunktid:
  • Uus Androidi pettus, CallPhantom, väidab valelikult, et pakub tasu eest juurdepääsu kõnelogidele, SMS-idele ja WhatsAppi kõnelogidele mis tahes telefoninumbri kohta.
  • Me tuvastasime ja teatasime Google Playst 28 CallPhantom-rakendust, mida on kokku alla laaditud üle 7,3 miljoni korra.
  • Mõned CallPhantom-rakendused hiilivad mööda Google Play ametlikust arveldussüsteemist, mis raskendab ohvrite tagasimaksete saamist.

Uurimine

2025. aasta novembris leidsime Redditist postituse, milles arutati Google Playst leitud rakendust nimega Call History of Any Number. Joonisel 1 näidatud rakendus väidab, et suudab hankida kasutaja poolt sisestatud mis tahes telefoninumbri kõneloo. Rakendus avaldati arendaja nime Indian gov.in all, kuid rakendusel puudub tegelik seos India valitsusega.

Figure 1. Call History of Any Number app on Google Play
Joonis 1. Rakenduse „Any Number” kõnelogi Google Play’s

Ei ole üllatav, et meie analüüs näitas, et selle rakenduse poolt pakutavad „kõneloo” andmed on täielikult väljamõeldud – rakendus genereerib juhuslikke telefoninumbreid ja seostab need kindlate nimede, kõneajade ja kõne kestustega, mis olid otse koodi sisse kirjutatud, nagu on näidatud joonisel 2. Need võltsitud andmed esitatakse seejärel ohvritele – kuid alles pärast makse sooritamist.

Figure 2. Hardcoded call log data used by the app
Joonis 2. Rakenduses kasutatavad kõnelogi andmed

Rakenduse kirjelduses oli isegi lisatud väljamõeldud kõneloo andmete ekraanitõmmis, mida esitati rakenduse funktsionaalsuse demonstratsioonina, nagu on näidatud joonisel 3.

Figure 3. Screenshots from Google Play
Joonis 3. Ekraanipildid Google Playst, mis näivad demonstreerivat petturliku rakenduse funktsionaalsust; logid on juhuslikult genereeritud koodis sisalduvatest andmetest

Edasised uuringud paljastasid Play Store’is veel teisi sarnaseid rakendusi – kokku 28 CallPhantom-rakendust. Teatasime kogu pettusrakenduste kogumist Google’ile16. detsembril 2025. Avaldamise ajaks on kõik teatatud rakendused poest eemaldatud.

Vaatamata visuaalsetele erinevustele, mida on näha joonisel 4 ja joonisel 5, on rakenduste eesmärk identne: luua võltsitud sideandmeid ja nõuda ohvritelt juurdepääsu eest tasu. Tabel Analüüsitud CallPhantom-rakendused
on loetletud iga rakendus koos selle põhiandmetega, sealhulgas allalaadimiste arvuga.

Figure 4. Examples of CallPhantom apps found on the Play Store
Joonis 4. Näited Play Store’ist leitud CallPhantom-rakendustest
Figure 5. Examples of CallPhantom initial screens
Joonis 5. Näited CallPhantom-rakenduste avalehtedest

Kampaania ülevaade

Google Playst leitud CallPhantom-rakendused olid suunatud peamiselt Androidi kasutajatele Indias ja laiemalt Aasia-Vaikse ookeani piirkonnas. Paljudel rakendustel oli eelvalitud India riigikood +91 ja need toetasid UPI-d, peamiselt Indias kasutatavat maksesüsteemi.

Rakendused olid kogunud arvukalt negatiivseid arvustusi, kus ohvrid teatasid, et neid peteti ja nad ei saanud kunagi lubatud andmeid, nagu on näha joonisel 6.

Figure 6. Negative reviews for one of the fraudulent apps
Joonis 6. Negatiivsed arvustused ühe petturliku rakenduse kohta

Ei ole selge, kuidas rakendusi levitati või reklaamiti. Eeldatavasti kasutasid petturid edukalt ära inimeste uudishimu, pakkudes näiliselt juurdepääsu isiklikule teabele. Koos mõne kiitva (võltsitud) arvustusega võis see tunduda intrigeeriv pakkumisena.

CallPhantom ülevaade

Meie uurimise käigus tuvastasime nende pettusrakenduste puhul kaks peamist klastrit.

Esimese rühma rakenduste koodis on kõvakooditud nimed, riigikoodid ja mallid, nagu on näha joonisel 7. Need kombineeritakse juhuslikult genereeritud telefoninumbritega ja näidatakse kasutajale osaliste „tulemustena”. Kogu (võltsitud) ajaloo vaatamiseks peab ohver maksma.

Figure 7. Code responsible for generating messages
Joonis 7. Sõnumite genereerimise eest vastutav kood

Teise rühma rakendused paluvad kasutajatel sisestada e-posti aadress, kuhu „leitud” kõnelugu väidetavalt saadetakse, nagu on näha joonise 8 ekraanipiltidel. Andmeid ei genereerita enne makse sooritamist; kasutajad peavad maksma või tellima teenuse enne, kui e-kiri väidetavalt saadetakse.

Figure 8. CallPhantom requests the user’s email address
Joonis 8. CallPhantom küsib kasutaja e-posti aadressi, kuhu kõnelogid väidetavalt saadetakse

Üldiselt on CallPhantom-rakendustel lihtne kasutajaliides ja need ei küsi mingeid pealetükkivaid või tundlikke õigusi – neil pole seda vaja. Juhuslikult ei sisalda need ka mingeid funktsioone, mis suudaksid taastada tegelikke kõne-, SMS- või WhatsApp-andmeid.

Analüüsitud CallPhantom-rakendustes nägime kolme erinevat makseviisi, millest kaks viimast rikuvad Google Play maksepoliitikat.

Esiteks tuginesid mõned rakendused Google Play ametliku arveldussüsteemi kaudu tehtavatele tellimustele. Seda nõutakse rakendustelt, mis pakuvad rakendusesiseseid oste, vastavalt Google Play maksepoliitikale; sellised ostud on kaetud Google’i tagasimaksekaitsega.

Teiseks tuginesid mõned rakendused maksetele kolmandate osapoolte rakenduste kaudu, mis toetavad UPI-d. Nende kolmandate osapoolte makserakenduste jaoks sisaldasid CallPhantom-rakendused kas kõvakooditud URL-aadresse või laadisid need dünaamiliselt Firebase’i reaalajas andmebaasist, mis tähendab, et operaator võis maksekonto igal ajal muuta.

Kolmandaks olid mõnel juhul maksekaardi kassavormid lisatud otse CallPhantom-rakendustesse.

Maksemeetodite näiteid on näha joonisel 9.

Figure 9. Various payment options used by CallPhantom apps
Joonis 9. CallPhantom-rakenduste kasutatavad erinevad makseviisid

Ühel juhul täheldasime täiendavat taktikat, mida kasutati kasutaja maksmisele meelitamiseks: kui kasutaja väljus rakendusest maksmata, kuvas rakendus petlikke teateid, mis olid kujundatud uute e-kirjadena, milles väideti, et kõneloo tulemused on saabunud – vt joonis 10. Teate klõpsamine viis otse tellimuse ekraanile.

Figure 10. Deceptive notification displayed by CallPhantom to persuade users to subscribe
Joonis 10. CallPhantomi kuvatav petlik teade, mille eesmärk on veenda kasutajaid teenust tellima

Võltsitud teenuse eest nõutavad tasud erinevad rakenduste lõikes oluliselt. Rakendused pakuvad ka erinevaid tellimispakette, näiteks nädalaseid, kuuseid või aastaseid teenuseid, kusjuures kõrgeim nõutav hind on 80 USA dollarit. Madalaima „tellimistaseme” puhul oli keskmine nõutav hind 5 eurot.

Mida teha, kui olete petetud

Üldiselt saab Google Play ametliku arveldussüsteemi kaudu ostetud tellimusi tühistada Play Store’i rakenduses, koputades oma profiili ikoonile, navigeerides valikule „Maksed ja tellimused“ → „Tellimused“, valides aktiivse tellimuse ja koputades „Tühista tellimus“. Google selgitab kogu protsessi oma lehel „Tellimuse tühistamine, peatamine või muutmine Google Play’s “.

Selles blogipostituses kirjeldatud 28 rakenduse puhul on olemasolevad tellimused tühistatud, kui rakendused Google Playst eemaldati.

Mõnel juhul on Google Play ostude eest võimalik saada tagasimakse. Google võib teha tagasimakse sõltuvalt ostu tegemisest möödunud ajast, toote liigist ja tagasimaksepoliitikast. Üldiselt tuleb taotlused esitada Google’i tugilehel kirjeldatud lubatud tagasimakseperioodi jooksul.

Kui ost tehti väljaspool Google Playd – näiteks sisestades maksekaardi andmed rakenduses või makstes kolmanda osapoole teenuste kaudu –, ei saa Google tellimust tühistada ega tagasimakset teha ning kasutajad peavad pöörduma otse maksepakkuja või rakenduse arendaja poole.

Kokkuvõte

Me tuvastasime Google Playst uue rühma petturlikke Androidi rakendusi, mis kogusid kokku üle 7,3 miljoni allalaadimise, enne kui need ESETi teate alusel eemaldati. Need rakendused, mille nimetasime ühiselt CallPhantomiks, lubavad valelikult taastada kõnelogid, SMS-id ja WhatsAppi kõneloo mis tahes telefoninumbri jaoks – see on tehniliselt võimatu väide, mis on loodud ainult selleks, et ära kasutada inimeste uudishimu ja meelitada neid eksitavalt maksma.

Paljud rakendused mööndasid Google Play ametlikku arveldussüsteemi, suunates kasutajaid kolmandate osapoolte makseviiside või otsese kaardiandmete sisestamise poole, mis raskendas tagasimaksete tegemist ja seadis ohvrid rahalisele riskile.

Meie analüüs näitas, et ohvritele näidatud „tulemused” on täielikult väljamõeldud, kasutades sageli koodis sisse kirjutatud India numbreid, eeldefineeritud nimesid ja genereeritud ajamärke, mis on maskeeritud tõeliste sideandmetena.

Kasutajad, kes tellisid teenuse Google Play ametliku arveldussüsteemi kaudu, võivad olla õigustatud tagasimaksele vastavalt Google’i tagasimaksepoliitikale. Kolmanda osapoole makserakenduste kaudu või kaardiandmete otsese sisestamise teel tehtud oste ei saa Google tagasi maksta, mistõttu on kasutajad sõltuvad välistest maksepakkujatest või arendajatest.

Kui teil on küsimusi WeLiveSecurity veebisaidil avaldatud uuringu kohta, võtke meiega ühendust aadressil threatintel@eset.com.
ESET Research pakub privaatseid APT-luurearuandeid ja andmevooge. Kui teil on küsimusi selle teenuse kohta, külastage ESETi ohuteabe lehekülge.

Analüüsitud CallPhantom-rakendused

Rakenduse nimi Paketi nimi Allalaadimiste arv
Kõnelugu: mis tahes number deta calldetaila.ndcallhisto.rytogetan.ynumber 3 miljonit
Kõneajalugu mis tahes numbri kohta com.pixelxinnovation.manager 1M+
Iga numbri kõne üksikasjad com.app.call.detail.history 1M+
Kõneajalugu mis tahes numbri andmed sc.call.ofany.mobiledetail 500 000
Kõneajalugu mis tahes numbri andmed com.cddhaduk.callerid.block.contact 500K+
Kõneajalugu mis tahes numbri kohta com.basehistory.historydownloading 500K
Mis tahes numbrite kõnelugu com.call.of.any.number 100K+
Iga numbri kõnelugu com.rajni.callhistory 100K+
Kõneajalugu mis tahes numbri kohta com.callhistory.calldetails.callerids.callerhistory.callhostoryanynumber.getcall.history.callhistorymanager 100K
Kõneajalugu mis tahes numbri andmed com.callinformative.instantcallhistory.callhistorybluethem.callinfo 100K
Kõneajalugu mis tahes numbri kohta com.call.detail.caller.history 100K
Kõneajalugu mis tahes numbri andmed com.anycallinformation.datadetailswho.calliinfo.numberfinder 100K
Kõneajalugu mis tahes numbri andmed com.callhistory.callhistoryyourgf 100K+
Kõneajalugu mis tahes number com.calldetails.smshistory.callhistoryofanynumber 50K
Kõneajalugu mis tahes numbri kohta com.callhistory.anynumber.chapfvor.history 50K
Kõneajalugu mis tahes numbri kohta com.callhistory.callhistoryany.call 50K
Kõneajalugu mis tahes numbri kohta com.name.factor 50K
Kõneajalugu mis tahes numbri kohta com.getanynumberofcallhistory.callhistoryofanynumber.findcalldetailsofanynumber 50K
Iga numbri kõnelugu com.chdev.callhistory 10K
Telefonikõnede ajaloo jälgija com.phone.call.history.tracker 10K
Kõneajalugu – mis tahes numbri andmed com.pdf.maker.pdfreader.pdfscanner 10K
Kõneajalugu mis tahes numbri kohta com.any.numbers.calls.history 10K
Kõneajalugu mis tahes numbri kohta com.callapp.historyero 1K
Kõneajalugu – mis tahes numbri andmed all.callhistory.detail 500
Kõneajalugu mis tahes numbri jaoks com.easyranktools.callhistoryforanynumber 100
Numbrite kõnelugu com.sbpinfotech.findlocationofanynumber 100
Iga numbri kõnelugu callhistoryeditor.callhistory.numberdetails.calleridlocator 50
Kõneajalugu Pro com.all_historydownload.anynumber.callhistorybackup 50

IoC-d

Kompromiteerimise indikaatorite (IoC) ja näidiste täielik nimekiri on kättesaadav meie GitHubi andmebaasis.

Failid

SHA-1 Failinimi Avastamine Kirjeldus
799BB5127CA54239D3D4A14367DB3B712012CF14 all.callhistory.detail.apk Android/CallPhantom.K Android CallPhantom.
56A4FD71D1E4BBA2C5C240BE0D794DCFF709D9EB calldetaila.ndcallhisto.rytogetan.ynumber.apk Android/CallPhantom.M Android CallPhantom.
EC5E470753E76614CD28ECF6A3591F08770B7215 callhistoryeditor.callhistory.numberdetails.calleridlocator.apk Android/CallPhantom.F Android CallPhantom.
77C8B7BEC79E7D9AE0D0C02DEC4E9AC510429AD8 com.all_historydownload.anynumber.callhistorybackup.apk Android/CallPhantom.G Android CallPhantom.
9484EFD4C19969F57AFB0C21E6E1A4249C209305 com.any.numbers.calls.history.apk Android/CallPhantom.L Android CallPhantom.
CE97CA7FEECDCAFC6B8E9BD83A370DFA5C336C0A com.anycallinformation.datadetailswho.callinfo.numberfinder.xapk Android/CallPhantom.B Android CallPhantom.
FC3BA2EDAC0BB9801F8535E36F0BCC49ADA5FA5A com.app.call.detail.history.apk Android/CallPhantom.N Android CallPhantom.
B7B80FA34A41E3259E377C0D843643FF736803B8 com.basehistory.historydownloading.xapk Android/CallPhantom.O Android CallPhantom.
F0A8EBD7C4179636BE752ECCFC6BD9E4CD5C7F2C com.call.detail.caller.history.xapk Android/CallPhantom.C Android CallPhantom.
D021E7A0CF45EECC7EE8F57149138725DC77DC9A com.call.of.any.number.apk Android/CallPhantom.Q Android CallPhantom.
04D2221967FFC4312AFDC9B06A0B923BF3579E93 com.callapp.historyero.apk Android/CallPhantom.E Android CallPhantom.
CB31ED027FADBFA3BFFDBC8A84EE1A48A0B7C11D com.calldetails.smshistory.callhistoryofanynumber.apk Android/CallPhantom.Q Android CallPhantom.
C840A85B5FBAF1ED3E0F18A10A6520B337A94D4C com.callhistory.anynumber.chapfvor.history.xapk Android/CallPhantom.J Android CallPhantom.
BB6260CA856C37885BF9E952CA3D7E95398DDABF com.callhistory.calldetails.callerids.callerhistory.callhostoryanynumber.getcall.history.callhistorymanager.apk Android/CallPhantom.S Android CallPhantom.
55D46813047E98879901FD2416A23ACF8D8828F5 com.callhistory.callhistoryany.call.apk Android/CallPhantom.T Android CallPhantom.
E23D3905443CDBF4F1B9CA84A6FF250B6D89E093 com.callhistory.callhistoryyourgf.apk Android/CallPhantom.D Android CallPhantom.
89ECEC01CCB15FCDD2F64E07D0E876A9E79DD3CE com.callinformative.instantcallhistory.callhistorybluethem.callinfo.xapk Android/CallPhantom.B Android CallPhantom.
8EC557302145B40FE0898105752FFF5E357D7AC9 com.cddhaduk.callerid.block.contact.xapk Android/CallPhantom.U Android CallPhantom.
6F72FF58A67EF7AAA79CE2342012326C7B46429D com.easyranktools.callhistoryforanynumber.apk Android/CallPhantom.H Android CallPhantom.
28D3F36BD43D48F02C5058EDD1509E4488112154 com.getanynumberofcallhistory.callhistoryofanynumber.findcalldetailsofanynumber.xapk Android/CallPhantom.D Android CallPhantom.
47CEE9DED41B953A84FC9F6ED556EC3AF5BD9345 com.chdev.callhistory.xapk Android/CallPhantom.V Android CallPhantom.
9199A376B433F888AFE962C9BBD991622E8D39F9 com.name.factor.apk Android/CallPhantom.P Android CallPhantom.
053A6A723FA2BFDA8A1B113E8A98DD04C6EEF72A com.pdf.maker.pdfreader.pdfscanner.apk Android/CallPhantom.W Android CallPhantom.
4B537A7152179BBA19D63C9EF287F1AC366AB5CB com.phone.call.history.tracker.apk Android/CallPhantom.I Android CallPhantom.
87F6B2DB155192692BAD1F26F6AEBB04DBF23AAD com.pixelxinnovation.manager.apk Android/CallPhantom.X Android CallPhantom.
583D0E7113795C7D68686D37CE7A41535CF56960 com.rajni.callhistory.apk Android/CallPhantom.Y Android CallPhantom.
45D04E06D8B329A01E680539D798DD3AE68904DA com.sbpinfotech.findlocationofanynumber.xapk Android/CallPhantom.A Android CallPhantom.
34393950A950F5651F3F7811B815B5A21F84A84B sc.call.ofany.mobiledetail.apk Android/CallPhantom.Z Android CallPhantom.

Võrk

IP Domeen Hosting-teenuse pakkuja Esimene avastamine Andmed
34.120.160[.]131

call-history-7cda4-default-rtdb.firebaseio[.]com

call-history-ecc1e-default-rtdb.firebaseio[.]com

 Google LLC 14.05.2025 CallPhantom C&C-server.
34.120.206[.]254

ch-ap-4-default-rtdb.firebaseio[.]com

chh1-ac0a3-default-rtdb.firebaseio[.]com

 Google LLC 17.04.2025 CallPhantom C&C-server.

MITRE ATT&CK-tehnikad

See tabel on koostatud MITRE ATT&CK raamistiku versiooni 18 alusel.

Taktika ID Nimi Kirjeldus
Juhtimine ja kontroll T1437.001 Rakenduskihi protokoll: veebiprotokollid CallPhantom kasutab juhtimise ja kontrolli suhtluseks Firebase Cloud Messagingut.
Mõju T1643 Liikluse genereerimine ohvri seadmest CallPhantom püüab saavutada pettuslikku arveldust.

Loe täismahus analüüsi WeLiveSecurity veebist →