Мы обнаружили крупномасштабную кампанию по распространению рекламного ПО, которая длилась около года, а участвующие в ней приложения были установлены восемь миллионов раз с одного лишь Google Play.

На Google Play нам удалось выявить 42 приложения, принадлежащих к этой кампании, которая действовала с июля 2018 г. 21 из них оставалось доступным на момент обнаружения. Мы сообщили об этих приложениях в службу безопасности Google, и они были оперативно удалены. Тем не менее, данные программы все еще остаются доступными в сторонних магазинах приложений. Собирательным наименованием этого обнаруженного ESET рекламного ПО стало Android/AdDisplay.Ashas.

Рис. 1. Информация о приложениях семейства Android/AdDisplay.Ashas была предоставлена компанией ESET корпорации Google

Рис. 2. Наиболее популярным на Google Play членом семейства Android/AdDisplay.Ashas стало приложение Video downloader master, загруженное свыше пяти миллионов раз

Функциональные возможности Ashas

Помимо работы в качестве рекламной программы все приложения обладают заявленными функциональными возможностями. Функционал рекламного ПО оставался одинаковым во всех проанализированных приложениях. Примечание. Описанный ниже анализ функциональных возможностей выполнен для одного приложения, но его результаты применимы ко всем программам семейства Android/AdDisplay.Ashas.

После запуска данное приложение начинает информационный обмен со своим командным сервером (IP-адрес которого закодирован в приложении с применением стандарта base64). Оно передает на «домашний» сервер ключевые данные о соответствующем устройстве: тип устройства, версия ОС, язык, количество установленных приложений, свободный объем памяти, состояние батареи, является ли устройство рутованным и включен ли на нем режим разработчика, а также, установлены ли на нем Facebook и FB Messenger.

Рис. 3. Передача информации об устройстве, на котором установлено рекламное ПО

Это приложение получает от командного сервера параметры конфигурации, необходимые для отображения рекламы, а также для длительного незаметного функционирования.

Рис. 4. Файл конфигурации, полученный от командного сервера

Чтобы обеспечить продолжительную скрытную работу приложений, злоумышленником используется ряд ухищрений.

Во-первых, вредоносное приложение пытается определить, выполнялась ли его проверка защитным механизмом Google Play. Для этой цели оно получает от командного сервера флаг isGoogleIp, указывающий на то, попадает ли IP-адрес соответствующего устройства в диапазон IP-адресов, известных серверам Google. Если значение возвращаемого сервером флага оказывается положительным, то рекламные функции приложением не запускаются.

Во-вторых, это приложение допускает установку настраиваемой задержки между показами рекламной информации. Конфигурацией рассмотренных нами образцов была предусмотрена задержка отображения первого рекламного блока, составляющая 24 минуты после разблокировки устройства. Эта задержка означает, что стандартная процедура тестирования, занимающая менее 10 минут, не выявит какой-либо подозрительной активности. Кроме того, чем дольше задержка, тем меньше опасность того, что пользователь сможет связать появление нежелательной рекламы с конкретным приложением.

В-третьих, исходя из ответа сервера, данное приложение может скрыть свой значок, создав вместо него горячую клавишу. Если обычный пользователь попытается избавиться от вредоносной программы, то существует вероятность того, что удалению подвергнется лишь горячая клавиша. После этого приложение продолжит работать в фоновом режиме, не информируя об этом пользователя. Эта технология скрытого функционирования набирает популярность среди прочих угроз, связанных с рекламным ПО, которые распространяются через Google Play.

Рис. 5. Задержка отображения рекламы, применяемая рекламным ПО

После получения вредоносным приложением его параметров конфигурации устройство, на котором оно установлено, оказывается готовым к отображению рекламной информации, предоставляемой по выбору злоумышленника; каждый рекламный блок показывается в полноэкранном режиме. Если пользователь пытается проверить, какое из приложений вызывает появление рекламы, нажав кнопку «Последние приложения», то используется другая хитрость: данным приложением отображается значок Facebook или Google, как показано на рис. 6. Рекламное ПО имитирует эти два приложения, чтобы казаться легитимным и избежать подозрений, оставаясь, таким образом, установленным на устройстве так долго, насколько возможно.

Рис. 6. Рекламное приложение подражает работе Facebook (слева). Если пользователь производит длинное нажатие на значок, то на экране отображается название приложения, ответственного за отображение рекламы (справа).

В завершение, рекламное ПО семейства Ashas скрывает свой код под именем пакета com.google.xxx. Эта уловка заключается в представлении данного приложения частью легитимной службы Google, благодаря чему оно может избежать тщательной проверки. Некоторые механизмы обнаружения и тестовые среды могут заносить подобные имена пакетов в белый список, пытаясь предотвратить расход ресурсов.

Рис. 7. Код вредоносного приложения скрыт в пакете под именем com.google

Поиск разработчика

С применением информации из открытых источников нами был выявлен разработчик данного рекламного ПО, которого мы также идентифицировали как оператора кампании и владельца командного сервера. В последующих разделах описываются наши действия по выявлению других приложений этого разработчика и меры, предпринимаемые для защиты от них наших пользователей.

В первую очередь, по информации, связанной с зарегистрированным доменом командного сервера, мы определили имя регистрирующего лица, а также дополнительную информацию, такую как страна пребывания и адрес электронной почты, как показано на рис. 8.

Рис. 8. Информация о домене командного сервера, используемого рекламным ПО Ashas

Зная о том, что информация, предоставленная регистратору домена, может оказаться ложной, мы продолжили наши поиски. Сведения об адресе электронной почты и стране привели нас к списку студентов, посещающих вьетнамский университет, подтвердив факт существования человека, под именем которого был зарегистрирован домен.

Рис. 9. Список студентов университета, включающий в себя имя лица, зарегистрировавшего домен командного сервера

Благодаря недостаточно строгой политике защиты персональных данных, которой придерживается университет злоумышленника, нам стала известна дата его рождения (вероятная: по всей видимости, он использует год своего рождения, как часть почтового адреса Gmail, что является дополнительным подтверждением правильности наших догадок), то, что он является студентом, и то, какой университет он посещает. Также мы смогли подтвердить то, что телефонный номер, предоставленный им регистратору домена, является настоящим. Более того, нам удалось обнаружить его университетские записи; непродолжительный поиск в Интернете позволил найти оценки, полученные им на некоторых экзаменах. Однако, его успеваемость выходит за рамки нашего исследования.

По адресу электронной почты нашего злоумышленника мы смогли отыскать его репозиторий GitHub. Его репозиторий подтверждает то, что он действительно является разработчиком Android, но на момент написания этой заметки в блоге общедоступного кода рекламного ПО Ashas в нем не было.

Тем не менее, обычный поиск имени пакета рекламного ПО в Интернете позволил найти проект TestDelete, который когда-то был доступным в репозитории злоумышленника.

Помимо прочего, приложения этого разработчика вредоносных программ имеются в App Store компании Apple. Некоторые из них представляют собой предназначенные для iOS версии тех приложений, которые были удалены с Google Play, но ни одна из них не содержит функций распространения рекламы.

Рис. 10. Опубликованные на App Store приложения от разработчика вредоносного ПО, которые не содержат рекламных функций Ashas

В ходе дальнейшего исследования деятельности данного злоумышленника нами был обнаружен Youtube-канал для распространения рекламного ПО Ashas и другие его проекты. Что касается продуктов семейства Ashas, то один из связанных с ним рекламных видеороликов, Head Soccer World Champion 2018 — Android, ios просматривался почти три миллиона раз, а два других набрали сотни тысяч просмотров, как показано на рис. 11.

Рис. 11. YouTube-канал разработчика вредоносного ПО

Благодаря YouTube-каналу злоумышленника нам удалось получить дополнительные ценные сведения: он сам снимается в обучающем видео к одному из других своих проектов. С помощью этого проекта мы смогли найти его профиль в Facebook, где упоминается его обучение в вышеуказанном университете.

Рис. 12. Профиль лица, зарегистрировавшего домен командного сервера, в Facebook (изображение на титульной странице и изображение из профиля пользователя отредактированы)

С помощью ссылки, имеющейся в Facebook-профиле разработчика вредоносного ПО, мы обнаружили страницу Minigameshouse в Facebook и связанный с ней домен minigameshouse[.]net. Этот домен аналогичен тому, который злоумышленник использует для организации обмена данными между рекламным ПО и командным сервером — minigameshouse[.]us.

Проверка страницы Minigameshouse позволяет получить дополнительное подтверждение того, что это лицо действительно является владельцем домена minigameshouse[.]us: телефонный номер, зарегистрированный вместе с этим доменом, идентичен тому, который отображается на странице в Facebook.

Рис. 13. Для страницы в Facebook, которой управляет лицо, зарегистрировавшее домен командного сервера, применяется то же основное доменное имя (minigameshouse) и телефонный номер, что и при регистрации командного сервера, используемого рекламным ПО Ashas

Интересным является то, что на странице Minigameshouse в Facebook автор рекламирует множество игр, не принадлежащих семейству Ashas, которые доступны для загрузки на Google Play и App Store. Тем не менее, все эти продукты были удалены с Google Play, несмотря на то, что некоторые из них не содержали какого-либо рекламного функционала.

Помимо всего прочего, один из доступных на YouTube видеороликов этого разработчика вредоносного ПО, а именно, руководство по разработке «Мгновенной игры (Instant Game)» для Facebook, служит примером полного пренебрежения средствами защиты. В нем мы увидели, что недавно посещенными злоумышленником вебсайтами были страницы Google Play, принадлежащие приложениям, которые содержат рекламное ПО Ashas. Кроме того, в этом видео он использовал свою учетную запись электронной почты для входа в различные службы, что позволяет без каких-либо сомнений идентифицировать его, как владельца домена рекламного ПО.

Благодаря этому видеоролику мы смогли выявить еще три приложения, которые включали в себя рекламные функции и оставались доступными на Google Play.

Рис. 14. Экранные снимки видеоролика, размещенного на YouTube этим разработчиком, демонстрирующие хронологию проверки рекламного ПО Ashas на Google Play

Телеметрия ESET

Рис. 15. Распределение выявленных компанией ESET приложений Android/AdDisplay.Ashas, установленных на устройствах Android, по странам

Является ли рекламное ПО вредоносным?

В связи с тем, что истинная природа приложений, содержащих рекламное ПО, обычно остается скрытой от пользователя, эти программы и их разработчиков следует считать неблагонадежными. После установки на устройстве наделенные рекламными функциями приложения могут, помимо прочего:

• Раздражать пользователей навязчивой рекламой, в том числе, предложениями мошеннического характера;
• Расходовать ресурсы батареи устройства;
• Формировать повышенный сетевой траффик;
• Осуществлять сбор персональных данных пользователя;
• Скрывать свое присутствие на соответствующем устройстве для обеспечения длительного функционирования;
• Приносить прибыль своему оператору без участия пользователя.

Заключение

В ходе расследования, выполненного исключительно на основе открытых данных, нам удалось отследить разработчика рекламного ПО Ashas, установить его личность и обнаружить дополнительные приложения, наделенные рекламным функционалом. Принимая во внимание то, что разработчик не предпринимал каких-либо мер для защиты информации, позволяющей идентифицировать его личность, кажется вероятным то, что изначально мошенничество не входило в его планы, — это также подтверждается тем фактом, что нежелательные рекламные функции содержались лишь в некоторых приложениях, опубликованных им.

Судя по всему, на каком-то этапе своей «карьеры» в Google Play он решил увеличить свои доходы за счет внедрения рекламных функций в код разрабатываемых им приложений. Применение в данном рекламном ПО различных технологий длительного незаметного функционирования свидетельствует о том, что злоумышленник знал о вредоносном характере добавленных функций и стремился скрыть их от пользователя.

Скрытое внедрение нежелательного или вредоносного функционала в популярные полезные приложения является распространенной практикой среди недобросовестных разработчиков, и наша компания прилагает все усилия для выявления подобных программ. Мы сообщаем о них корпорации Google и предпринимаем другие действия для приостановки кампаний по распространению обнаруженного нами опасного ПО. Наконец, что не менее важно, мы публикуем информацию о наших находках, чтобы помочь пользователям Android защитить себя.

Характеристики врредоносного ПО (IoCs)

Командный сервер

Методики MITRE ATT&CK

Благодарим @jaymin9687 за привлечение нашего внимания к проблеме, связанной с отображением нежелательной рекламы приложением Video downloader master.

Источник: Welivesecurity