16 gennaio 2018

Gli analisti Doctor Web hanno trovato nella directory Google Play diversi giochi per SO Android con un trojan incorporato Android.RemoteCode.127.origin. Il trojan scarica e lancia impercettibilmente moduli aggiuntivi che svolgono diverse funzioni malevole. Per esempio, simulano le azioni dell'utente aprendo silenziosamente siti web e cliccando su elementi in essi collocati.

Android.RemoteCode.127.origin è incluso in una piattaforma software (SDK, Software Development Kit) con il nome 呀呀云 («Ya Ya Yun»), utilizzata da sviluppatori per espandere le funzionalità delle applicazioni. In particolare, consente ai giocatori di comunicare tra di loro. Tuttavia, oltre alle funzioni dichiarate, la piattaforma indicata svolge le funzioni trojan scaricando di nascosto moduli malevoli da un server remoto.

Quando vengono avviati i programmi in cui è integrato questo SDK, il malware Android.RemoteCode.127.origin invia una richiesta su un server di controllo. In cambio può ricevere un comando di download e avvio di moduli malevoli, capaci di eseguire una varietà di azioni. Uno di questi moduli, che è stato intercettato ed esaminato dagli specialisti Doctor Web, è stato denominato Android.RemoteCode.126.origin. Dopo l'avvio si connette con il suo server di gestione e ottiene un link per il download di un'immagine a prima vista innocua.

In realtà nello stesso file grafico è nascosto un altro modulo trojan, una versione aggiornata di Android.RemoteCode.126.origin. Questo metodo di mascheramento di oggetti malevoli in immagini (steganografia) è già stato riscontrato diverse volte dagli analisti dei virus. Per esempio, veniva impiegato in un trojan rilevato nel 2016 Android.Xiny.19.origin.

Dopo la decifratura e l'avvio la nuova versione del modulo trojan (Dr.Web la classifica come Android.RemoteCode.125.origin) inizia a funzionare contemporaneamente con quella vecchia, duplicando le sue funzioni. Quindi questo modulo scarica un'altra immagine in cui anche è nascosto un componente malevolo. È stato denominato Android.Click.221.origin.

Il suo obiettivo principale è quello di aprire impercettibilmente siti web e cliccare su elementi in essi collocati – per esempio, link e banner. Per farlo, Android.Click.221.origin scarica dall'indirizzo indicato dal server di gestione uno script cui viene fornita la possibilità di eseguire diverse azioni su una pagina, tra le quali le azioni per simulare i clic su elementi indicati dallo script. Così, se l'obiettivo del trojan conteneva un task di passaggio su link e annunci, i malintenzionati ricavano un profitto per aumentare furtivamente il numero di visite su siti web e di clic su banner. Le funzionalità di Android.RemoteCode.127.origin non si limitano però a questi task, in quanto gli autori dei virus possono creare altri moduli trojan che eseguiranno altre azioni malevole. Per esempio, le azioni per visualizzare finestre di phishing attraverso cui vengono rubati login e password, per mostrare pubblicità, nonché per scaricare silenziosamente e installare applicazioni.

Gli specialisti Doctor Web hanno trovato nella directory Google Play 27 giochi in cui era utilizzato l'SDK trojan. In totale essi sono stati scaricati da più di 4.500.000 proprietari di dispositivi mobili. La lista delle applicazioni con il trojan Android.RemoteCode.127.origin incorporato è riportata nella tabella di seguito:

Gli analisti hanno informato la società Google della presenza di un componente trojan nelle applicazioni sopraindicate, però al momento della pubblicazione di questo articolo esse erano ancora disponibili per il download. Per i proprietari di smartphone e tablet Android che hanno installato i giochi con il trojan Android.RemoteCode.127.origin è consigliato rimuoverli. I prodotti antivirus Dr.Web per Android rilevano con successo i programmi in cui è contenuto Android.RemoteCode.127.origin quindi questo trojan non rappresenta alcuna minaccia per i nostri utenti.

Informazioni sul trojan