• TWEAK
• Software

Android-malware fundet integreret i APKPure Store

Android-brugere bruger applikationen til at installere apps og spil, der hostes på APKPures platform, angiveligt identiske med dem, der er tilgængelige via Play Butik.

Malwaren blev opdaget af Kaspersky og Dr.Web malwareanalytikere indlejret i en reklame SDK inkluderet i APKPure version 3.7.18.

Der er tale om en variant af Triada-trojanen, der først blev spottet af Kaspersky i 2016 [1, 2], der er i stand til at spamme brugere af inficerede enheder med annoncer og levere yderligere malware.

"The identified malicious code embedded in APKPure operates in the following way: upon launch of the application, the payload is decrypted and launched," Kaspersky said. "It then collects information about the user device and sends it to the C&C server."

"Then, a Trojan is loaded that has much in common with the notorious Triada malware, in that it can perform a range of actions - from displaying and clicking ads to signing up for paid subscriptions and downloading other malware."

Afhængigt af operatørens instruktioner og indtægtsgenererende udforming (annoncer eller betaling pr. Installation) vil den derefter:

- vise annoncer hver gang Android-enheden låses op,

- gentagne gange åbne websider, der indeholder annoncer,

- klikke på annoncerne for at tilmelde dig betalte abonnementer,

- installere andre payloads eller potentielt ondsindet software uden brugernes samtykke.

Skaderne påført af denne trojan varierer afhængigt af Android-versionen, der kører på de kompromitterede enheder, lige fra at være tilmeldt betalte abonnementer og præsenteres for påtrængende annoncer i aktuelle versioner til at have mere alvorlig malware som xHelper installeret på systempartitionen.

 

Enhedsoplysninger indsamlet af malware (Kaspersky)

Mens der ikke er nogen officiel downloadstatistik tilgængelig for APKPure-appen, forklarer Kaspersky, at de hidtil har blokeret malware på enhederne hos 9.380 Android-brugere, der benytter sig af deres sikkerhedsløsninger på deres enheder.

Både Kaspersky og Dr.Web rapporterede deres fund til APKPures udviklere, der har frigivet APKPure 3.17.19 i dag uden den ondsindede kode.

Indicators of compromise, including APKpure app, payload, and malware sample hashes, are available at the end of Kaspersky's report.

Source & Image credit:

Kaspersky