Na Play Store byla objevena nová hrozba, která navazuje na dříve objevené škodlivé kódy Viking Horde, DressCode, CallJam a některé další. Malware nazvaný „Skinner“ byl vložen do herní aplikace, kterou si stáhlo už více než 10 000 uživatelů a podařilo se jí ukrývat v obchodě Googlu přes dva měsíce.
Malware obsahuje škodlivou knihovnu, která se rozbalí až po instalaci na zařízení. Skinner maskuje škodlivé části svého kódu, aby unikl odhalení, přičemž škodlivé aktivity se aktivují až poté, co malware detekuje aktivitu uživatele, jako je například spuštění aplikace.
Navíc kontroluje i řadu dalších podmínek, než se spustí, včetně absence připojeného debuggeru, emulátoru hardwaru a zda byla instalace provedena z Google Play. Všechna tato opatření znesnadňují jeho detekci a odhalení. Po aktivaci posílá malware svému C&C serveru data o zařízení, která obsahují polohu a spuštěné aplikace a zároveň si vyžaduje reklamy k zobrazení.
Namísto pouhého zobrazení jakékoliv reklamy však Skinner kontroluje, jaký typ aplikace uživatel aktuálně používá a zobrazí odpovídající reklamu. Jedná se o zcela nové chování pro mobilní adware. Tento druh „marketingu“ na míru výrazně zvyšuje úspěšnost malwaru.
„Tato taktika je unikátní a zcela inovativní. Většina adwaru spoléhá na masové šíření. Skinner jde naopak cestou přesně cíleného infikování menšího počtu uživatelů, což ve výsledku generuje stejné příjmy, ale minimalizuje se riziko odhalení. Podobný přístup zcela jistě začnou využívat a ještě zdokonalí další adwary,“ uvedl Petr Kadrmas, Secuity Engineer Eastern Europe, Check Point Software Technologies.
Infikovaná aplikace (není upřesněno, o jakou konkrétně šlo) byla odstraněna z Google Play po té, co Check Point kontaktoval bezpečnostní tým Google.
škodlivý kód Skinneru
