Google Bulut Güvenlik Ekibi, Google Play Store'un inceleme sürecinden ve güvenlik kontrollerinden kaçındıktan sonra kötü amaçlı aktörler tarafından Android cihazlarda kötü amaçlı yazılımları kaydırmak için kullanılan sürümleme olarak bilinen ortak bir taktiği kabul etti.
Teknik, halihazırda yüklü uygulamalara sunulan güncellemeler yoluyla kötü amaçlı yükleri tanıtarak veya Dinamik Kod Yükleme (DCL) olarak bilinen şeydeki tehdit aktörlerinin kontrolü altındaki sunuculardan kötü amaçlı kod yükleyerek çalışır.
Tehdit aktörlerinin, App Store'un statik analiz kontrollerini atlatarak Android cihazlarda yerli, Dalvik veya JavaScript kodu olarak yüklerini dağıtmalarını sağlar.
Şirket, "Kötü niyetli aktörlerin Google Play'in güvenlik kontrollerini atlatmaya çalıştığı bir yön, bu yılki tehdit trendleri raporunda şirket."
"Sürümleme, bir geliştirici, Google Play Store'da meşru görünen ve kontrollerimizi geçen bir uygulamanın ilk sürümünü yayınladığında, ancak daha sonra son kullanıcı cihazındaki kötü amaçlı etkinlik sağlayan kodu değiştiren üçüncü taraf bir sunucudan bir güncelleme alırken gerçekleşir. "
Google, Play Store'a dahil edilmek üzere gönderilen tüm uygulamaların ve yamaların titiz PHA (potansiyel olarak zararlı uygulama) taramasından geçtiğini söylerken, "Bu kontrollerden bazıları" DCL aracılığıyla atlandığını söylüyor.
Google, bu tür faaliyetlerde bulunmanın bulduğu uygulamaların Google Play aldatıcı davranış politikasını ihlal ettiğini ve arka kapı olarak etiketlenebileceğini açıkladı.
Şirketin Play Politika Merkezi yönergelerine göre, Google Play aracılığıyla dağıtılan uygulamaların, Google Play tarafından sağlanan resmi güncelleme mekanizması dışında herhangi bir yolla kendilerini değiştirmesi, değiştirmesi veya güncellemesi açıkça yasaklanmıştır.
Ayrıca, uygulamaların yürütülebilir kodu (DEX, JAR veya .so Files0 gibi harici kaynaklardan resmi Android App Store'a indirmeleri kesinlikle yasaktır.
Google ayrıca, ilk olarak Ekim 2021'de Cleafy'nin tehdit istihbarat ekibi tarafından tespit edilen ve bu tekniği vahşi doğada kullandığı bilinen Sharkbot adlı belirli bir kötü amaçlı yazılım varyantını vurguladı.
Sharkbot, bir Android cihazdan ödün verdikten sonra Otomatik Aktarım Hizmeti (ATS) protokolü aracılığıyla yetkisiz para transferleri yapacak bankacılık kötü amaçlı yazılımdır.
Oyun mağazası sistemleri tarafından tespit etmekten kaçınmak için, Sharkbot'tan sorumlu tehdit aktörleri, Google Play'de sınırlı işlevselliğe sahip sürümleri yayınlama ve uygulamalarının şüpheli doğasını gizleme stratejisini benimsedi.
Ancak, bir kullanıcı Truva Azaltılmış Uygulamayı indirdiğinde, kötü amaçlı yazılımın tam sürümünü indirir.
Sharkbot, Android antivirüs yazılımı ve çeşitli sistem yardımcı programları olarak kamufle edildi ve Google Play Store'un kötü niyetli davranışlar için gönderim kontrollerini geçen uygulamalarla binlerce kullanıcıya başarıyla enfekte etti.
Siber güvenlik muhabiri Brian Krebs, aynı amaç için farklı bir mobil kötü amaçlı yazılım gizleme tekniğinin kullanımını da vurguladı ve son zamanlarda tehdit fabrik güvenlik araştırmacıları tarafından tanıtıldı.
Bu yöntem, Google'ın uygulama analiz araçlarını etkili bir şekilde bozar ve kötü amaçlı APS'yi (Android uygulama paketleri) taramalarını önler. Sonuç olarak, bu zararlı APS, geçersiz olarak etiketlenmesine rağmen kullanıcıların cihazlarına başarılı bir şekilde yükleyebilir.
Google Play, kötü amaçlı yazılım gönderimlerini engellemek için iş kontrollerini zorlayacak
Bilgisayar korsanları çalma sinyali, sahte android sohbet uygulamasıyla whatsapp kullanıcı verileri
Yeni Android kötü amaçlı yazılım, resimlerden kimlik bilgilerini çalmak için OCR kullanıyor
Google Play'de 1.5m yüklü uygulamalar verilerinizi Çin'e gönderin
2,5m ile Google Play uygulamaları, ekran kapalıyken yük reklamları yüklüyor
Kaynak: Bleeping Computer