Miliony użytkowników Androida mogły paść ofiarą nowej kampanii adware ukrytej w pozornie niewinnych aplikacjach z Google Play. Badacze Check Point Research odkryli operację GhostAd, opartą na sieci co najmniej 15 aplikacji, pobranych łącznie miliony razy – jedna z nich zajęła nawet 2. miejsce rankingu „Top Free Tools”. Najwięcej ofiar odnotowano na Filipinach, w Pakistanie i Malezji, ale infekcje zaobserwowano również w Europie i Afryce. To kolejne ostrzeżenie dla użytkowników najpopularniejszego systemu operacyjnego na smartfonach.
Według analizy Check Point, aplikacje stworzone do realizacji operacji GhostAd tuż po uruchomieniu rejestrowały się jako usługa pierwszoplanowa (foreground service), która działa nawet po zamknięciu programu czy restarcie telefonu. Zgodnie z wymogami Androida usługa wyświetlała powiadomienie o usłudze w tle, jednak twórcy GhostAd stworzyli pusty, niemal niewidoczny komunikat, którego użytkownik nie mógł usunąć. W tym czasie trwał nieprzerwany pokaz reklam.
Aby wzmocnić działanie wykorzystywany był JobScheduler, który co kilka sekund uruchamiał na nowo zadania odpowiedzialne za wczytywanie reklam, dzięki czemu adware sam się „leczył” po ewentualnym zakończeniu procesu przez system. Ostatecznie reklamy były ładowane i odświeżane co kilka sekund, bez jakiejkolwiek interakcji ze strony użytkownika. W efekcie doprowadzało to do przegrzewania urządzenia, szybko rozładowującej się baterii i nieuzasadnionego zużycia pakietu danych, także wtedy, gdy ekran telefonu był wygaszony.
Co ciekawe, recenzjach na Google Play użytkownicy skarżyli się na nachalne pop-upy, znikający z ekranu głównego skrót aplikacji oraz problemy z odinstalowaniem programu. Wielu opisywało GhostAd jako „wirus, który przejmuje telefon”.
Potencjalne ryzyko dla danych
GhostAd integrował wiele legalnych narzędzi do tworzenia oprogramowania reklamowego (SDK), takich jak Pangle, Vungle, MBridge, AppLovin czy BIGO, jednak wykorzystywał je w sposób naruszający dozwolone użycie. Co więcej, badacze Check Pointa zwracają uwagę, że przy nadanych uprawnieniach taki kod nie potrzebuje klasycznych „eksploitów”, by stać się realnym zagrożeniem dla danych. Aplikacja z ciągłym dostępem do internetu i prawem odczytu/zapisu pamięci współdzielonej może skanować katalogi z dokumentami, logami, zrzutami ekranu czy kopiami zapasowymi – w tym takimi, które pochodzą z firmowych systemów – i wysyłać je na serwer atakującego bez wiedzy użytkownika.
W praktyce oznacza to, że na prywatnym telefonie pracownika można zbudować długotrwały kanał wycieku informacji. To szczególnie istotne w świecie, w którym smartfony regularnie służą do obsługi poczty służbowej, systemów CRM, komunikatorów i aplikacji do pracy zdalnej.
Co powinni zrobić użytkownicy?
Po zgłoszeniu kampanii przez Check Point wszystkie zidentyfikowane aplikacje zostały usunięte z Google Play (część z aplikacji usunięto już wcześniej). Dodatkowo Google Play Protect – domyślnie włączony na urządzeniach z usługami Google – automatycznie dezaktywuje wykryte aplikacje, niezależnie od źródła instalacji.
Dla użytkowników i działów bezpieczeństwa autorzy badania rekomendują m.in.:
- unikanie aplikacji o ogólnikowych nazwach, proszących o nadmierne uprawnienia,
- dokładne czytanie recenzji (sygnałami alarmowymi są ostrzeżenia o „wirusowym” zachowaniu, znikających ikonach czy problemach z odinstalowaniem),
- zwracanie uwagi na „puste” powiadomienia, które mogą maskować działające w tle usługi,
- regularny przegląd listy aplikacji w ustawieniach systemu, także tych bez skrótów na ekranie głównym.
