Penipuan Iklan IconAds

Penyelidik keselamatan siber telah menemui dan membongkar operasi penipuan iklan mudah alih yang meluas melibatkan ratusan aplikasi Android yang mengelirukan. Digelar IconAds, kempen ini telah memanfaatkan taktik pengelakan yang canggih, menyusup ke kedai aplikasi rasmi dan mengeksploitasi pengguna yang tidak curiga untuk keuntungan pengiklanan yang besar.

IconAds: Operasi Penipuan Iklan Senyap dalam Penyamaran

Penyelidik baru-baru ini menemui rangkaian penipuan iklan Android berlabel IconAds, yang terdiri daripada 352 aplikasi berniat jahat. Apl ini direka bentuk untuk memaparkan iklan yang mengganggu, di luar konteks terus pada skrin pengguna sambil menyembunyikan kehadiran mereka daripada pelancar peranti, menjadikan pengalihan keluar manual hampir mustahil. Nasib baik, Google telah mengalih keluar apl ini daripada Gedung Play.

Pada kemuncaknya, operasi IconAds bertanggungjawab menjana sehingga 1.2 bilion permintaan bida iklan setiap hari. Trafik terutamanya berasal dari Brazil, Mexico dan Amerika Syarikat, menunjuk kepada pendekatan penyasaran yang luas tetapi tertumpu kepada wilayah.

IconAds bukanlah baharu sepenuhnya. Ia berkongsi ciri dengan ancaman lain yang diketahui dijejaki di bawah nama seperti HiddenAds dan Vapor, yang telah berulang kali menyelinap melepasi pertahanan Gedung Play sejak sekurang-kurangnya 2019.

Taktik Menipu dan Tingkah Laku Berterusan

Taktik teras di sebalik IconAds bergantung pada siluman dan kegigihan. Apl ini:

• Gunakan kekeliruan untuk menyembunyikan maklumat khusus peranti semasa komunikasi rangkaian.
• Gunakan corak penamaan yang konsisten untuk domain Command-and-Control (C2) mereka.
• Gantikan aktiviti MAIN/LAUNCHER lalai apl dengan alias untuk mengawal cara apl itu muncul dan berkelakuan.

Selepas pemasangan, apl pada mulanya memaparkan label dan ikon biasa. Walau bagaimanapun, sebaik sahaja dilancarkan, ia mengaktifkan alias aktiviti tersembunyi yang kekal berterusan, walaupun selepas but semula, menyebabkan apl itu hilang daripada skrin utama. Silap mata ini menghalang pengguna daripada mencari atau menyahpasang aplikasi dengan mudah.

Objektif muktamad? Layankan iklan interstisial skrin penuh yang mengganggu pengguna tanpa mengira apl sah yang sedang digunakan.

Dalam sesetengah kes, varian IconAds menyamar sebagai Gedung Google Play atau apl berjenama Google yang dipercayai. Apl penipu ini mengubah hala pengguna ke apl yang sah sambil melaksanakan aktiviti penipuan secara senyap di latar belakang.

Pengelakan dan Evolusi: Sasaran Bergerak

Memandangkan IconAds telah berkembang, lelaran yang lebih baharu kini menggabungkan lapisan pengelakan tambahan:

• Semakan lesen yang menyahaktifkan tingkah laku berniat jahat jika apl dimuatkan sisi (teknik biasa semasa analisis keselamatan).
• Kekeliruan dipertingkat untuk merumitkan kedua-dua pemeriksaan statik dan dinamik.

Apl ini juga mempunyai jangka hayat yang pendek secara sengaja, selalunya dialih keluar dengan cepat selepas pengesanan, hanya untuk diperkenalkan semula dengan kod yang diubah suai dan identiti baharu. Penyelidik memberi amaran bahawa IconAds berkemungkinan akan terus menyesuaikan diri dan muncul semula dengan samaran yang berbeza.

Kaleidoskop: Kebangkitan Apl Berkembar Jahat

Dalam penemuan berkaitan, pakar telah mendedahkan Kaleidoskop, operasi penipuan iklan yang menggunakan teknik yang dipanggil oleh penyelidik sebagai 'kembar jahat'. Model ini melibatkan dua versi apl yang hampir sama:

• 'Kembar umpan' jinak yang dihoskan di Gedung Google Play.
• 'Kembar jahat' berniat jahat diedarkan melalui kedai aplikasi pihak ketiga atau tapak web palsu.

Rakan sejawat jahat menjana tera iklan penipuan menggunakan iklan skrin penuh, tanpa sebarang interaksi pengguna, sambil memanfaatkan ID apl yang sama sebagai tipu daya untuk menipu pengiklan supaya membayar penglibatan palsu.

Kaleidoskop ialah evolusi skema serupa yang dikenali sebagai Konfety, yang pada asalnya menggunakan SDK CaramelAds. Dalam bentuk terbaharunya, rujukan kepada CaramelAds telah dilucutkan dan fungsi terasnya disepadukan semula ke dalam SDK yang baru dinamakan seperti Leisure, Raccoon dan Adsclub untuk menghalang penjejakan dan atribusi.

Jangkauan Global dan Hubungan Komersial

Antara Disember 2024 dan Mei 2025, Kaleidoskop telah memberi kesan kepada sebilangan besar pengguna Android, terutamanya di Amerika Latin, Türkiye, Mesir dan India. Wilayah ini sangat terdedah kerana kelaziman kedai apl pihak ketiga yang tinggi.

Ciri-ciri utama Kaleidoskop termasuk:

• Iklan interstisial skrin penuh dicetuskan tanpa input pengguna.
• Tontonan iklan penipuan yang dihalakan melalui versi apl berniat jahat.
• Penyamaran ID apl yang sah untuk memaksimumkan hasil iklan.

Kebanyakan pengewangan Kaleidoscope telah dikesan kepada syarikat Portugis bernama Saturn Dynamic, yang mendakwa menyediakan perkhidmatan pengewangan iklan yang sah. Walau bagaimanapun, infrastrukturnya nampaknya memainkan peranan penting dalam membolehkan penipuan iklan berskala besar melalui pengedaran dan pengewangan apl menipu ini.

Fikiran Akhir: Landskap Ancaman yang Sentiasa Berubah

Kedua-dua IconAds dan Kaleidoscope menggambarkan sifat penipuan iklan mudah alih yang berkembang. Operasi ini mengaburkan garis antara tingkah laku yang sah dan berniat jahat dengan menyamarkan aktiviti berbahaya di sebalik apl yang tidak berbahaya. Memandangkan ancaman ini terus mengalihkan taktik, adalah penting untuk kedai aplikasi, pembangun dan pengguna untuk terus berwaspada dan profesional keselamatan siber untuk terus selangkah di hadapan daripada mekanisme penipuan yang semakin mengelak.