Το Android malware Cellik δημιουργεί κακόβουλες εκδόσεις εφαρμογών του Google Play

Μια νέα επιχείρηση malware-as-a-service (MaaS), με την ονομασία Cellik, στοχεύει Android και διαφημίζεται σε υπόγεια φόρουμ κυβερνοεγκλήματος, προσφέροντας ένα ισχυρό σύνολο δυνατοτήτων. Μια από τις πιο σημαντικές δυνατότητες είναι η επιλογή ενσωμάτωσης του malware σε οποιαδήποτε εφαρμογή, που είναι διαθέσιμη στο Google Play Store. Οι επιτιθέμενοι μπορούν να επιλέξουν εφαρμογές από το επίσημο κατάστημα εφαρμογών του Android και να δημιουργήσουν τροποποιημένες εκδόσεις που φαίνονται αξιόπιστες, ενώ διατηρούν τη διεπαφή και τη λειτουργικότητα της πραγματικής εφαρμογής.

Παρέχοντας αυτές τις δυνατότητες, οι μολύνσεις από το Cellik μπορούν να παραμείνουν απαρατήρητες για μεγαλύτερο χρονικό διάστημα. Επιπλέον, ο πωλητής ισχυρίζεται ότι η δέσμευση του κακόβουλου λογισμικού με αυτόν τον τρόπο μπορεί να βοηθήσει στην παράκαμψη του Play Protect, αν και αυτό δεν έχει επιβεβαιωθεί.

Δείτε επίσης: Το SantaStealer malware κλέβει έγγραφα και credentials

Cellik malware: Δυνατότητες

Η εταιρεία ασφάλειας κινητών iVerify ανακάλυψε το Cellik σε υπόγεια φόρουμ, όπου προσφέρεται για $150/μήνα ή $900 για πρόσβαση εφ’ όρου ζωής. Το Cellik είναι ένα πλήρες κακόβουλο λογισμικό για Android που μπορεί να καταγράψει και να μεταδώσει την οθόνη του θύματος σε πραγματικό χρόνο, να παρέμβει σε ειδοποιήσεις εφαρμογών, να περιηγηθεί στο σύστημα αρχείων, να εξάγει αρχεία, να διαγράψει δεδομένα και να επικοινωνήσει με τον διακομιστή εντολών και ελέγχου μέσω ενός κρυπτογραφημένου καναλιού.

Το κακόβουλο λογισμικό διαθέτει, επίσης, μια κρυφή λειτουργία περιήγησης που οι επιτιθέμενοι μπορούν να χρησιμοποιήσουν για να έχουν πρόσβαση σε ιστότοπους από τη μολυσμένη συσκευή, χρησιμοποιώντας τα αποθηκευμένα cookies του θύματος. Ένα σύστημα app injection επιτρέπει στους επιτιθέμενους να επικαλύπτουν ψεύτικες οθόνες σύνδεσης ή να εισάγουν κακόβουλο κώδικα σε οποιαδήποτε εφαρμογή, για να κλέψουν τα διαπιστευτήρια λογαριασμού του θύματος.

Δείτε επίσης: NexusRoute: Νέα malware καμπάνια στοχεύει χρήστες Android

Οι αναφερόμενες δυνατότητες περιλαμβάνουν, επίσης, την επιλογή εισαγωγής payloads στις εγκατεστημένες εφαρμογές, καθιστώντας ακόμη πιο δύσκολο τον εντοπισμό της μόλυνσης, καθώς οι γνωστές αξιόπιστες εφαρμογές ξαφνικά γίνονται κακόβουλες.

Το κύριο χαρακτηριστικό είναι η ενσωμάτωση του Play Store στο APK builder του Cellik, που επιτρέπει στους κυβερνοεγκληματίες να περιηγούνται στο κατάστημα για εφαρμογές, να επιλέγουν αυτές που θέλουν και να δημιουργούν μια κακόβουλη παραλλαγή τους.

Ο πωλητής ισχυρίζεται ότι το Cellik μπορεί να παρακάμψει τις λειτουργίες ασφαλείας του Google Play κρύβοντας το payload του σε αξιόπιστες εφαρμογές, ουσιαστικά απενεργοποιώντας την ανίχνευση του Play Protect.

Δείτε επίσης: Phantom Stealer: Phishing επίθεση με ISO εικόνες στοχεύει τη Ρωσία

Ενώ το Google Play Protect συνήθως επισημαίνει άγνωστες ή κακόβουλες εφαρμογές, τα trojans που κρύβονται μέσα σε δημοφιλή πακέτα εφαρμογών μπορεί να περάσουν από τις αυτοματοποιημένες αναθεωρήσεις ή τους σαρωτές σε επίπεδο συσκευής.

Για να παραμείνουν ασφαλείς, οι χρήστες Android θα πρέπει να αποφεύγουν τη φόρτωση APK από αμφίβολες τοποθεσίες, να διασφαλίζουν ότι το Play Protect είναι ενεργό στη συσκευή, να ελέγχουν τις άδειες εφαρμογών και να παρακολουθούν για ασυνήθιστη δραστηριότητα.