SpinOk Mobile Malware

Ερευνητές κυβερνοασφάλειας ανακάλυψαν μια απειλητική ενότητα λογισμικού που στοχεύει συσκευές Android εξοπλισμένες με δυνατότητες spyware. Αυτή η ενότητα παρακολουθείται ως SpinOk και λειτουργεί συλλέγοντας ευαίσθητα δεδομένα που σχετίζονται με αρχεία που είναι αποθηκευμένα στις επηρεαζόμενες συσκευές και έχει τη δυνατότητα να μεταδίδει αυτές τις πληροφορίες σε οντότητες με κακό πνεύμα. Επιπλέον, μπορεί να αντικαταστήσει και να ανεβάσει περιεχόμενα που έχουν αντιγραφεί στο πρόχειρο της συσκευής, προωθώντας τα σε έναν απομακρυσμένο διακομιστή που ελέγχεται από τους εισβολείς.

Το κακόβουλο λογισμικό SpinOk έχει μεταμφιεστεί ως κιτ ανάπτυξης λογισμικού μάρκετινγκ (SDK). Ως εκ τούτου, μπορεί να ενσωματωθεί από προγραμματιστές σε διάφορες εφαρμογές και παιχνίδια, συμπεριλαμβανομένων αυτών που είναι εύκολα προσβάσιμα στο Google Play Store. Αυτή η μέθοδος διανομής επιτρέπει στη μονάδα που έχει μολυνθεί από λογισμικό υποκλοπής να διεισδύσει δυνητικά σε ένα ευρύ φάσμα λογισμικού Android, αποτελώντας σημαντική απειλή για το απόρρητο και την ασφάλεια των χρηστών. Πράγματι, σύμφωνα με τους ειδικούς του infosec, εφαρμογές Android που έχουν μολυνθεί με SpinOk έχουν ληφθεί και εγκατασταθεί πάνω από 421 εκατομμύρια φορές.

Το κακόβουλο λογισμικό SpinOk βρέθηκε να έχει εγχυθεί σε πολυάριθμες εφαρμογές στο Google Play Store

Η μονάδα SpinOk trojan, μαζί με πολλές παραλλαγές της, έχει εντοπιστεί σε πολυάριθμες εφαρμογές που διανέμονται μέσω του Google Play Store. Ενώ ορισμένες από αυτές τις εφαρμογές εξακολουθούν να περιέχουν το παραβιασμένο Κιτ Ανάπτυξης Λογισμικού (SDK), άλλες το είχαν σε συγκεκριμένες εκδόσεις ή έχουν αφαιρεθεί πλήρως από το κατάστημα. Ωστόσο, ανακαλύφθηκε ότι αυτό το κακόβουλο λογισμικό για κινητά ήταν παρόν σε συνολικά 101 διαφορετικές εφαρμογές, οι οποίες έχουν συγκεντρώσει συνολικά πάνω από 421.000.000 λήψεις. Ως αποτέλεσμα, ένας σημαντικός αριθμός κατόχων συσκευών Android, που ανέρχεται σε εκατοντάδες εκατομμύρια, κινδυνεύουν δυνητικά να πέσουν θύματα κυβερνοκατασκοπείας.

Μεταξύ των εφαρμογών που βρέθηκαν να φέρουν το spyware SpinOk με τις περισσότερες λήψεις είναι:

• Ένα πρόγραμμα επεξεργασίας βίντεο Noizz με τουλάχιστον 100 εκατομμύρια εγκαταστάσεις.
• Μια εφαρμογή μεταφοράς και κοινής χρήσης αρχείων, το Zapya, με άλλες 100 εκατομμύρια εγκαταστάσεις.
• VFly (επεξεργαστής και κατασκευαστής βίντεο), MVBit (δημιουργός κατάστασης βίντεο MV) και Biudo (επεξεργαστής και κατασκευαστής βίντεο) το καθένα με τουλάχιστον 50 εκατομμύρια εγκαταστάσεις.

Θα πρέπει να σημειωθεί ότι το κακόβουλο λογισμικό SpinOk υπήρχε σε αρκετές εκδόσεις του Zapya αλλά έχει αφαιρεθεί με την έκδοση 6.4.1 της εφαρμογής.

Η παρουσία αυτής της ενότητας Trojan σε αυτές τις ευρέως χρησιμοποιούμενες εφαρμογές αποτελεί σημαντική απειλή για το απόρρητο και την ασφάλεια των χρηστών. Απαιτείται άμεση δράση για τον μετριασμό των πιθανών κινδύνων που σχετίζονται με αυτές τις παραβιασμένες εφαρμογές.

Το SpinOk Mobile Malware συλλέγει ένα ευρύ φάσμα ευαίσθητων δεδομένων υπό το πρόσχημα των χρήσιμων λειτουργιών

Η ενότητα SpinOk παρουσιάζεται ως ένα ελκυστικό εργαλείο εντός των εφαρμογών, προσφέροντας στους χρήστες μίνι παιχνίδια, συστήματα εργασιών και τη γοητεία των βραβείων και των ανταμοιβών. Ωστόσο, κατά την ενεργοποίηση, αυτό το Trojan Software Development Kit (SDK) δημιουργεί μια σύνδεση με έναν διακομιστή Command-and-Control (C&C) και μεταδίδει ένα ολοκληρωμένο σύνολο τεχνικών λεπτομερειών σχετικά με τη μολυσμένη συσκευή. Αυτές οι λεπτομέρειες περιλαμβάνουν δεδομένα αισθητήρων από εξαρτήματα όπως το γυροσκόπιο και το μαγνητόμετρο, τα οποία μπορούν να χρησιμοποιηθούν για την αναγνώριση περιβαλλόντων εξομοιωτή και την προσαρμογή της συμπεριφοράς της μονάδας ώστε να αποφευχθεί ο εντοπισμός από τους ερευνητές ασφαλείας. Για να αποκρύψει περαιτέρω τις δραστηριότητές του κατά την ανάλυση, η λειτουργική μονάδα Trojan αγνοεί τις ρυθμίσεις διακομιστή μεσολάβησης της συσκευής, επιτρέποντάς της να κρύβει τις συνδέσεις δικτύου.

Μέσω της επικοινωνίας με τον διακομιστή C&C, η μονάδα λαμβάνει μια λίστα με διευθύνσεις URL, τις οποίες στη συνέχεια φορτώνει στο WebView για να εμφανίσει διαφημιστικά banner. Ταυτόχρονα, αυτό το Trojan SDK ενισχύει τις δυνατότητες ενός κατεστραμμένου κώδικα JavaScript που εκτελείται σε αυτές τις φορτωμένες ιστοσελίδες, εισάγοντας μια σειρά λειτουργιών στη διαδικασία. Αυτά περιλαμβάνουν τη δυνατότητα πρόσβασης και απαρίθμησης αρχείων σε καθορισμένους καταλόγους, ελέγχου για την ύπαρξη συγκεκριμένων αρχείων ή καταλόγων στη συσκευή, ανάκτησης αρχείων από τη συσκευή και χειρισμού των περιεχομένων του προχείρου.

Αυτές οι πρόσθετες δυνατότητες παρέχουν στους χειριστές της μονάδας Trojan τα μέσα για να αποκτήσουν εμπιστευτικές πληροφορίες και αρχεία από τη συσκευή του χρήστη. Για παράδειγμα, οι εφαρμογές που ενσωματώνουν το SpinOk Trojan μπορούν να αξιοποιηθούν για να χειριστούν τα αρχεία που είναι προσβάσιμα σε αυτές. Οι εισβολείς το επιτυγχάνουν αυτό εισάγοντας τον απαραίτητο κώδικα στις σελίδες HTML των διαφημιστικών banner, δίνοντάς τους τη δυνατότητα να εξάγουν ευαίσθητα δεδομένα και αρχεία από άθελους χρήστες.