एंड्रॉइड क्लिकर उपयोगकर्ताओं को भुगतान की गई सेवाओं की सदस्यता देता है

डॉक्टर वेब ने एंड्रॉइड एप्लिकेशन की आधिकारिक सूची में एक क्लिकर ट्रोजन का पता लगाया है जो स्वचालित रूप से भुगतान सेवाओं के लिए उपयोगकर्ताओं की सदस्यता ले सकता है। वायरस विश्लेषकों ने इस दुर्भावनापूर्ण कार्यक्रम के कई संशोधनों की पहचान की है, जिसका नाम Android.Click.322.origin , Android.Click.323.origin और Android.Click.324.origin है । अपने वास्तविक उद्देश्य को छिपाने के लिए, साथ ही एक ट्रोजन का पता लगाने की संभावना को कम करने के लिए, हमलावरों ने कई तरकीबों का इस्तेमाल किया।

सबसे पहले , उन्होंने क्लिकर को हानिरहित अनुप्रयोगों में एकीकृत किया - कैमरे और छवि संग्रह - जो घोषित कार्यों को पूरा करते थे। नतीजतन, उपयोगकर्ताओं और सूचना सुरक्षा विशेषज्ञों के पास उन्हें खतरे के रूप में विचार करने का कोई स्पष्ट कारण नहीं था।

दूसरे , सभी मैलवेयर को वाणिज्यिक जियागु पैकर द्वारा संरक्षित किया गया था, जो एंटीवायरस द्वारा पता लगाने में कठिनाई करता है और कोड विश्लेषण को मुश्किल बनाता है। इस प्रकार, Google Play निर्देशिका की अंतर्निहित सुरक्षा द्वारा ट्रोजन का पता लगाने से बचने की अधिक संभावना थी।

तीसरे , वायरस लेखकों ने प्रसिद्ध विज्ञापन और विश्लेषणात्मक पुस्तकालयों के रूप में ट्रोजन को छिपाने की कोशिश की। होस्ट कार्यक्रमों में जोड़ने के बाद, इसे फेसबुक में एडजस्ट किया गया था और इसमें मौजूद एसडीके को अपने कंपोनेंट्स के बीच छिपाकर एडजस्ट किया गया था।

इसके अलावा, क्लिकर ने उपयोगकर्ताओं पर चुनिंदा तरीके से हमला किया: उसने कोई दुर्भावनापूर्ण कार्य नहीं किया, यदि संभावित शिकार हमलावरों के लिए रुचि के देशों में से एक का निवासी नहीं था।

ट्रोजन के साथ उन में एम्बेडेड अनुप्रयोगों के उदाहरण निम्नलिखित हैं:





क्लिकर को स्थापित करने और शुरू करने के बाद (इसके बाद, इसका संशोधन Android.Click.322.origin एक उदाहरण के रूप में काम करेगा), यह निम्नलिखित अनुरोध दिखाकर ऑपरेटिंग सिस्टम की सूचनाओं तक पहुँचने की कोशिश करता है:



यदि उपयोगकर्ता उसे आवश्यक अनुमतियां देने के लिए सहमत हो जाता है, तो ट्रोजन आने वाले एसएमएस और संदेश संदेशों को अवरोधन के बारे में सभी सूचनाएं छिपाने में सक्षम होगा।

इसके बाद, क्लिकर कंट्रोल सर्वर को संक्रमित डिवाइस के बारे में तकनीकी डेटा भेजता है और पीड़ित के सिम कार्ड के सीरियल नंबर की जांच करता है। यदि यह लक्ष्य देशों में से एक से मेल खाता है, तो Android.Click.322.origin सर्वर पर इसे संलग्न फोन नंबर के बारे में जानकारी भेजता है। उसी समय, कुछ राज्यों के उपयोगकर्ताओं के लिए, क्लिकर एक फ़िशिंग विंडो दिखाता है, जहाँ वह नंबर दर्ज करने या अपने Google खाते में लॉग इन करने की पेशकश करता है:



यदि पीड़ित का सिम कार्ड हमलावरों के देश का नहीं है, तो ट्रोजन कोई कार्रवाई नहीं करता है और दुर्भावनापूर्ण गतिविधि को रोकता है। निम्न क्लिकर संशोधनों का अध्ययन निम्नलिखित राज्यों के निवासियों पर करता है:

• ऑस्ट्रिया
• इटली
• फ्रांस
• थाईलैंड
• मलेशिया
• जर्मनी
• कतर
• पोलैंड
• ग्रीस
• आयरलैंड

नंबर के बारे में जानकारी प्रसारित करने के बाद Android.Click.322.origin को मैनेजिंग सर्वर से एक कमांड की उम्मीद है। ट्रोजन, ट्रोजन को नौकरियां भेजता है जिसमें डाउनलोड और जावास्क्रिप्ट कोड के लिए वेबसाइट पते होते हैं। इस कोड का उपयोग JavascriptInterface इंटरफ़ेस के माध्यम से क्लिकर को नियंत्रित करने, डिवाइस पर पॉप-अप संदेश प्रदर्शित करने, वेब पेज और अन्य कार्यों पर क्लिक करने के लिए किया जाता है।

साइट का पता प्राप्त करने के बाद, Android.Click.322.origin इसे एक अदृश्य वेबव्यू में खोलता है, जहां क्लिक के लिए मापदंडों के साथ पहले अपनाया गया जावास्क्रिप्ट भी लोड किया गया है। प्रीमियम सेवा के साथ एक साइट खोलने के बाद, ट्रोजन स्वचालित रूप से आवश्यक लिंक और बटन पर क्लिक करता है। फिर वह एसएमएस से सत्यापन कोड प्राप्त करता है और स्वतंत्र रूप से सदस्यता की पुष्टि करता है।

इस तथ्य के बावजूद कि क्लिकर के पास एसएमएस के साथ काम करने और संदेशों तक पहुंच का कार्य नहीं है, वह इस सीमा को दरकिनार कर देता है। यह निम्नानुसार होता है। ट्रोजन सेवा एप्लिकेशन से सूचनाओं पर नज़र रखती है, जो डिफ़ॉल्ट रूप से एसएमएस के साथ काम करने के लिए असाइन किया गया है। जब कोई संदेश आता है, तो सेवा संबंधित सिस्टम सूचना को छुपा देती है। फिर वह उसे प्राप्त एसएमएस के बारे में जानकारी निकालता है और उसे ट्रोजन प्रसारण रिसीवर तक पहुंचाता है। नतीजतन, उपयोगकर्ता को आने वाले एसएमएस के बारे में कोई सूचना नहीं दिखाई देती है और यह नहीं जानता है कि क्या हो रहा है। वह सेवा की सदस्यता लेने के बारे में तभी सीखता है जब उसके खाते से पैसे गायब होने लगते हैं, या जब वह संदेश मेनू में जाता है और प्रीमियम सेवा से संबंधित एसएमएस देखता है।

डॉक्टर वेब विशेषज्ञों द्वारा Google से संपर्क करने के बाद, पता चला कि दुर्भावनापूर्ण एप्लिकेशन Google Play से हटा दिए गए थे। इस क्लिकर के सभी ज्ञात संशोधनों को Android के लिए Dr.Web एंटी-वायरस उत्पादों द्वारा सफलतापूर्वक पता लगाया और हटा दिया गया है और इसलिए हमारे उपयोगकर्ताओं के लिए खतरा नहीं है।

Android.Click.322.origin के बारे में और पढ़ें