29 maggio 2023

L'azienda Doctor Web ha scoperto un modulo software per sistema operativo Android che possiede funzionalità spia. Raccoglie informazioni sui file conservati sui dispositivi, è in grado di trasmetterli ai malintenzionati, e inoltre, può sostituire furtivamente e caricare sul server remoto il contenuto degli appunti. Questo modulo viene distribuito con il pretesto di un SDK di marketing e viene incorporato dagli sviluppatori software in vari giochi ed app Android, disponibili, tra l'altro, anche su Google Play. Secondo la classificazione Dr.Web è stato denominato Android.Spy.SpinOk.

Il modulo SpinOk è progettato per trattenere gli utenti nelle app tramite minigiochi, un sistema di compiti, nonché una presunta estrazione a premi. All'inizializzazione questo SDK trojan si connette a un server di comando e controllo inviando ad esso una richiesta con numerosi dati tecnici sul dispositivo infettato. In particolare, dati di sensori come giroscopio, magnetometro, ecc., che possono essere utilizzati per riconoscere l'esecuzione in ambiente emulatori e regolare il funzionamento dell'applicazione malevola al fine di evitare che la sua attività venga rilevata dai ricercatori. Per lo stesso fine, anche vengono ignorate le impostazioni proxy del dispositivo, il che consente di nascondere le connessioni di rete durante analisi. In risposta, il modulo riceve dal server di gestione una lista di link i quali esso carica in una WebView per visualizzare banner pubblicitari.

Esempi di pubblicità visualizzata da Android.Spy.SpinOk:

Allo stesso tempo, l'SDK trojan estende le possibilità del codice JavaScript eseguito sulle pagine web pubblicitarie caricate. Aggiunge a tale codice numerose funzionalità, tra cui:

• ottenimento della lista dei file in directory indicate,
• controllo della presenza di un determinato file o directory sul dispositivo,
• ottenimento di un file dal dispositivo,
• ottenimento e modifica del contenuto degli appunti.

Questo consente a coloro che gestiscono questo modulo trojan di ottenere informazioni riservate e file dal dispositivo dell'utente. Ad esempio, i file l'accesso a cui è disponibile per un'app con Android.Spy.SpinOk incorporato. Per fare questo, i malintenzionati dovranno aggiungere il codice corrispondente alla pagina HTML di banner pubblicitario.

Gli specialisti dell'azienda Doctor Web hanno rilevato questo modulo trojan e diverse sue varianti in tutta una serie di applicazioni distribuite attraverso lo store Google Play. Alcune di esse contengono ancora l'SDK malevolo, altre lo avevano solo in determinate versioni o sono state già rimosse. I nostri analisti dei virus lo hanno rilevato in 105 programmi che in totale sono stati scaricati almeno 421.290.300 volte. Pertanto, centinaia di milioni di proprietari di dispostivi Android rischiano di rimanere vittima di cyber spionaggio. L'azienda Doctor Web ha informato la società Google della minaccia rilevata.

Di seguito sono presentati i nomi dei 10 programmi più popolari in cui è stato rilevato l'SDK trojan Android.Spy.SpinOk:

• Noizz: editor video con musica (almeno 100.000.000 di installazioni),

• Zapya- Trasferimento, condivisione di file (almeno 100.000.000 di installazioni; il modulo trojan era presente dalla versione 6.3.3 alla versione 6.4 ed è assente nella versione attuale 6.4.1),
• VFly: video editor&video maker (almeno 50.000.000 di installazioni),
• MVBit - MV video status maker (almeno 50.000.000 di installazioni),
• Biugo: video maker&video editor (almeno 50.000.000 di installazioni),
• Crazy Drop (almeno 10.000.000 di installazioni),
• Cashzine - Earn money reward (almeno 10.000.000 di installazioni),
• Fizzo Novel - Reading Offline (almeno 10.000.000 di installazioni),
• CashEM:Get Rewards (almeno 5.000.000 di installazioni),
• Tick:watch to earn (almeno 5.000.000 di installazioni).

La lista completa delle app può essere consultata al seguente link.

L'antivirus Dr.Web per dispositivi mobili Android rileva e rimuove con successo tutte le versioni conosciute del modulo trojan Android.Spy.SpinOk e delle applicazioni in cui è incorporato, pertanto, per i nostri utenti questo programma malevolo non rappresenta un pericolo.

Informazioni su Android.Spy.SpinOk

Indicatori di compromissione

La notizia è stata aggiornata il 15 settembre 2023.

L'azienda SpinOk ha contattato l'azienda Doctor Web per la verifica e l'eliminazione delle cause del rilevamento. Successivamente alla verifica e alla correzione da parte dell'azienda SpinOK, il modulo software (com.spin.ok.gp) è stato aggiornato alla versione 2.4.2 in cui le funzionalità malevole sono assenti. Report sulla verifica del modulo aggiornato.