Cellik Android малициозен софтвер создава злонамерни верзии од апликации на Google Play

Нов Android „malware-as-a-service“ (MaaS) наречен Cellik се рекламира на подземни киберкриминални форуми, нудејќи робустен сет на можности, вклучувајќи и опција за вградување во која било апликација достапна на Google Play Store.

Поконкретно, напаѓачите можат да изберат апликации од официјалната продавница за Android и да создадат тројанизирани верзии што изгледаат доверливо и го задржуваат оригиналниот интерфејс и функционалност на вистинската апликација.

Со обезбедување на очекуваните функции, инфекциите со Cellik можат да останат незабележани подолг период. Дополнително, продавачот тврди дека ваквото комбинирање на малициозниот софтвер може да помогне во заобиколување на Play Protect, иако ова не е потврдено.

Мобилната безбедносна компанија iVerify го откри Cellik на подземни форуми, каде што се нуди по цена од 150 долари месечно или 900 долари за доживотен пристап.

Можности на Cellik

Cellik е целосно развиен Android малициозен софтвер кој може да го снима и да го пренесува екранот на жртвата во реално време, да пресретнува нотификации од апликации, да го прелистува фајл-системот, да извлекува (екфилтрира) датотеки, да брише податоци и да комуницира со командно-контролниот сервер преку шифриран канал.

Малициозниот софтвер исто така поседува скриен режим на прелистувач, кој напаѓачите можат да го користат за пристап до веб-страници од заразениот уред со користење на зачуваните колачиња (cookies) на жртвата.

Системот за инјекција во апликации им овозможува на напаѓачите да прикажуваат лажни екрани за најава или да вбризгуваат малициозен код во која било апликација со цел кражба на корисничките податоци за најава.

Наведените можности исто така вклучуваат опција за вбризгување payload-и во веќе инсталирани апликации, што дополнително го отежнува откривањето на инфекцијата, бидејќи долго време доверливи апликации одеднаш можат да станат злонамерни.

Сепак, највпечатливата карактеристика е интеграцијата со Play Store во APK-алатката за градење на Cellik, која им овозможува на киберкриминалците да ја прелистуваат продавницата, да изберат апликации по желба и да создадат нивни злонамерни варијанти.

„Продавачот тврди дека Cellik може да ги заобиколи безбедносните механизми на Google Play со вметнување на својот payload во доверливи апликации, со што практично се оневозможува детекцијата од Play Protect“, објаснува iVerify.

„Додека Google Play Protect обично означува непознати или злонамерни апликации, тројанци скриени во пакети на популарни апликации можат да се протнат низ автоматските проверки или скенерите на ниво на уред.“

BleepingComputer стапил во контакт со Google за да праша дали апликациите спакувани со Cellik навистина можат да го избегнат Play Protect, но одговор не бил веднаш достапен.

За да останат безбедни, корисниците на Android треба да избегнуваат sideloading на APK-датотеки од сомнителни веб-страници доколку не му веруваат на издавачот, да се осигураат дека Play Protect е активен на уредот, редовно да ги прегледуваат дозволите на апликациите и да внимаваат на невообичаена активност.

Извори:

• Bleeping Computer – Cellik Android malware builds malicious versions from Google Play apps Bleeping Computer