Doctor Web研究人员发现华为官方应用商店AppGallery中10个看似无害的APP中含有连接到恶意C2服务器来接收配置信息和其他组件的恶意代码。目前,有超过50万台华为设备下载了感染Joker 恶意软件的APP。
伪装成功能APP
研究人员分析发现,恶意APP的功能仍然与宣传的一致,但是会下载让用户订阅付费移动服务的组件。为了不让用户察觉APP的恶意行为,APP会请求对通知的访问权限,这样就可以拦截订阅服务通过SMS发送的确认码了。
目前,恶意软件会让用户订阅最多5个服务,但是攻击者随时都可以修改这一限制。恶意APP包括虚拟键盘、照相机、启动器、在线消息软件、涂色程序、游戏等等。
这些恶意APP的开发者多数来自山西快来拍网络科技有限公司。据统计,目前有超过53.8万华为用户下载了这10款恶意APP。
Doctor Web 通知华为后,华为已经从AppGallery 应用商店中移除了这10款含有恶意代码的应用程序。
Joker
研究人员称,AppGallery中受感染的APP下载的模块也出现在Google Play中的应用程序中,属于Joker 恶意软件的不同版本。
一旦激活,恶意软件就会与远程服务器连接来获取配置文件,其中含有任务列表,付费服务的网站、模拟用户交互的JS代码等。
Joker 恶意软件的历史可以追溯到2017年。2019年,Kaspersky研究人员对70款受感染的APP 进行了分析。2020年,谷歌发布报告称自2017年,谷歌已经移除了超过1700个被Joker 感染的APP。
更多细节参见:https://news.drweb.com/show/?i=14182&lng=en&c=5
本文翻译自:https://www.bleepingcomputer.com/news/security/joker-malware-infects-over-500-000-huawei-android-devices/如若转载,请注明原文地址。