Новый троян на Android подменяет Play Маркет и накручивает рейтинги

Антивирусная компания «Доктор Веб» обнаружила новый зловред на Android-устройствах, который незаметно от пользователя загружает приложения из магазина Google Play.

В последнее время владельцы мобильных устройств на Android подвержены риску заражений троянами, которые в большинстве случаев загружают определенные программы. Таким образом злоумышленники накручивают счетчики загрузок и получают вознаграждение за каждое установленное приложение.

На этот раз специалистами компании «Доктор Веб» обнаружен новый зловред семейства Android.DownLoader под названием Android.Skyfin.1.origin. После заражения смартфона или планшета троян получает ROOT-доступ и устанавливает другие вредоносные программы в системный раздел. При его запуске в процесс программы Play Маркет загружается дополнительный модуль Android.Skyfin.2.origin, который получает доступ к идентификатору устройства и учетной записи Google. После этого модуль передает данные главному трояну Android.Skyfin.1.origin, а тот, в свою очередь, отправляет их на сервер.

При подключении к каталогу Google Play зловред подменяет собой приложение Play Маркет и может выполнять такие запросы:

• /search – поиск в каталоге для симуляции последовательности действий пользователя;
• /purchase – запрос на покупку программ;
• /commitPurchase – подтверждение покупки;
• /acceptTos – подтверждение согласия с условиями лицензионного соглашения;
• /delivery – запрос ссылки для скачивания APK-файла из каталога;
• /addReview /deleteReview /rateReview – добавление, удаление и оценка отзывов;
• /log – подтверждение скачивания программы, которое используется для накручивания счетчика установок.

Характерной особенностью Android.Skyfin.1.origin является то, что он не устанавливает загруженные программы, а сохраняет их на карту памяти или во внутреннюю память. Существует несколько модификаций обнаруженного трояна. Одна из них скачивает из Google Play единственное приложение com.op.blinkingcamera, другая – умеет загружать любые программы по указанному списку.

Для удаления зловреда понадобится комплексное антивирусное решение с ROOT-правами.