Специалисты Satori Threat Intelligence team компании Human Security раскрыли масштабную и весьма изощренную кампанию мошенничества с рекламой в глобальной сети. Она использовала 224 Android-приложения и генерировала порядка 2,3 миллиарда показов рекламных баннеров в сутки, принося тем самым ощутимый доход своим организаторам. Злоумышленники, стоящие за кампанией, получившей название SlopAds, подошли к делу весьма основательно. Они задействовали множество командных центров и 300 доменов для управления операциями и использовали сложные методы маскировки, чтобы обмануть механизмы проверки Google Play Store и защитные решения пользовательских устройств.

Кампания охватывала без преувеличения весь мир: вредоносные приложения были загружены из флагманского магазина Android-приложений более 38 миллионов раз пользователями из 228 стран. При этом наибольшая активность приходилась на Соединенные Штаты: 30% всех мошеннических показов рекламы. Далее следуют Индия и Бразилия - 10 и 7% соответственно.

Если пользователь загружал одно из вредоносных приложений напрямую из Google Play Store, оно исправно выполняло все обещанные в описании функции. Однако если пользователь переходил по ссылке с одного из включенных в кампанию рекламных сайтов, активировалась скрыта часть кода. Она содержала URL-адреса загрузки вредоносных модулей и командных серверов. На следующем этапе приложение осуществляло проверку с целью выяснить, установлено ли оно на обычном пользовательском устройстве или же на виртуальной машине или в тестовой среде специалистов по кибербезопасности. И только после успешного прохождения этой проверки осуществлялась финальная загрузка вредоносного модуля.

Причем для этого использовался метод стеганографии: на устройство загружались четыре изображения в формате PNG, содержавшие зашифрованные фрагменты вредоносного кода. После этого они расшифровывались, объединялись - и устройство присоединялось к кампании, генерируя фальшивые показы рекламных баннеров и клики по ним. В настоящее время все 224 вредоносных приложения удалены из Google Play Store, а инструменты Google Play Protect обновлены и дополнены информацией о SlopAds и предупреждают пользователей о необходимости удаления загруженных ранее приложений. Однако исследователи отмечают, что в кампанию вложены весьма значительные силы и средства, а потому велика вероятность того, что злоумышленники не прекратят ее, а попытаются адаптировать к новым условиям.