SpinOk mobil skadlig programvara

Cybersäkerhetsforskare har avslöjat en hotfull mjukvarumodul riktad mot Android-enheter utrustade med spionprogram. Den här modulen spåras som SpinOk och fungerar genom att samla in känsliga data som hänför sig till filer som lagras på de berörda enheterna och har förmågan att överföra denna information till ondskefulla enheter. Dessutom kan den ersätta och ladda upp innehåll som kopierats till enhetens urklipp och vidarebefordra det till en fjärrserver som kontrolleras av angriparna.

SpinOk Malware har förkläts till ett marknadsföringspaket för mjukvaruutveckling (SDK). Som sådan kan den integreras av utvecklare i olika applikationer och spel, inklusive de som är lättillgängliga i Google Play Butik. Denna distributionsmetod tillåter den spionprograminfekterade modulen att potentiellt infiltrera ett brett utbud av Android-programvara, vilket utgör ett betydande hot mot användarnas integritet och säkerhet. Enligt infosec-experter har SpinOk-infekterade Android-applikationer faktiskt laddats ner och installerats över 421 miljoner gånger.

SpinOk Malware hittades injicerad i många applikationer i Google Play Butik

SpinOk trojanmodulen, tillsammans med flera varianter av den, har identifierats i många applikationer som distribueras via Google Play Store. Medan vissa av dessa applikationer fortfarande innehåller det komprometterade Software Development Kit (SDK), hade andra det i specifika versioner eller har tagits bort helt från butiken. Det har dock upptäckts att denna mobila skadliga programvara har funnits i totalt 101 olika applikationer, som tillsammans har samlat på sig över 421 000 000 nedladdningar. Som ett resultat riskerar ett stort antal Android-enhetsägare, uppgående till hundratals miljoner, att falla offer för cyberspionage.

Bland de applikationer som hittats för att bära SpinOk spionprogram med flest nedladdningar är:

• • En videoredigerare Noizz med minst 100 miljoner installationer.

• • En filöverförings- och delaapplikation, Zapya, med ytterligare 100 miljoner installationer.

• • VFly (videoredigerare och tillverkare), MVBit (MV-videostatustillverkare) och Biudo (videoredigerare och tillverkare) var och en med minst 50 miljoner installationer.

Det bör påpekas att SpinOk Malware fanns i flera versioner av Zapya men har tagits bort med 6.4.1-versionen av applikationen.

Förekomsten av den här trojanska modulen i dessa ofta använda applikationer utgör ett betydande hot mot användarnas integritet och säkerhet. Omedelbara åtgärder krävs för att minska de potentiella riskerna i samband med dessa komprometterade applikationer.

SpinOk Mobile Malware samlar in ett brett utbud av känsliga data under sken av användbara funktioner

SpinOk-modulen presenterar sig som ett engagerande verktyg inom applikationer, som erbjuder användarna minispel, uppgiftssystem och tjusningen av priser och belöningar. Men vid aktivering upprättar detta Trojan Software Development Kit (SDK) en anslutning till en Command-and-Control-server (C&C) och sänder en omfattande uppsättning tekniska detaljer om den infekterade enheten. Dessa detaljer inkluderar sensordata från komponenter som gyroskopet och magnetometern, som kan användas för att identifiera emulatormiljöer och justera modulens beteende för att undvika upptäckt av säkerhetsforskare. För att ytterligare fördunkla dess aktiviteter under analysen bortser den trojanska modulen från enhetens proxyinställningar, vilket gör att den kan dölja nätverksanslutningar.

Genom sin kommunikation med C&C-servern får modulen en lista med URL:er som den sedan laddar i WebView för att visa reklambanners. Samtidigt förbättrar denna trojanska SDK kapaciteten hos en skadad JavaScript-kod som körs på dessa laddade webbsidor, vilket introducerar en rad funktioner i processen. Dessa inkluderar möjligheten att komma åt och räkna upp filer i specificerade kataloger, kontrollera om det finns specifika filer eller kataloger på enheten, hämta filer från enheten och manipulera innehållet i urklipp.

Dessa extra funktioner ger operatörerna av den trojanska modulen möjlighet att skaffa konfidentiell information och filer från användarens enhet. Till exempel kan applikationer som innehåller SpinOk-trojanen utnyttjas för att manipulera filerna som är tillgängliga för dem. Angriparna åstadkommer detta genom att infoga den nödvändiga koden i HTML-sidorna på annonsbannern, vilket gör det möjligt för dem att extrahera känsliga data och filer från omedvetna användare.