Rastrean desarrollador de adware para Android que afecta a millones de usuarios

Detectamos una importante campaña de adware que estuvo activa durante aproximadamente un año que involucró a una serie de aplicaciones que en total fueron instaladas ocho millones de veces solamente desde Google Play.

Identificamos 42 aplicaciones en Google Play pertenecientes a la campaña, que habían estado corriendo desde julio de 2018. De ellas, 21 todavía estaban disponibles en el momento del descubrimiento. Reportamos las aplicaciones al equipo de seguridad de Google y se eliminaron rápidamente. Sin embargo, las aplicaciones aún están disponibles en tiendas de aplicaciones de terceros. ESET detecta este adware, de manera colectiva, como Android/AdDisplay.Ashas.

Figura 1. Aplicaciones de la familia Android / AdDisplay.Ashas reportadas a Google por ESET

Figura 2. La aplicación más popular utilizada para distribuir la familia Android/AdDisplay.Ashas en Google Play fue "Video Downloader Master" con más de cinco millones de descargas.

Funcionalidad de Ashas

Además de funcionar como adware, todas las aplicaciones proporcionan la funcionalidad que prometen. La funcionalidad del adware es la misma en todas las apps que analizamos. Nota: el análisis de la funcionalidad a continuación describe una sola aplicación, pero se aplica a todas las aplicaciones de la familia Android/AdDisplay.Ashas.

Una vez iniciada, la aplicación comienza a comunicarse con su servidor C&C (cuya dirección IP está codificada en base64 en la aplicación) para enviar datos sobre el dispositivo afectado: tipo de dispositivo, versión del sistema operativo, idioma, número de aplicaciones instaladas, espacio de almacenamiento libre, estado de la batería, si el dispositivo está rooteado, si el “modo de desarrollador” está habilitado, y si Facebook y FB Messenger están instalados.

Figura 3. Envío de información sobre el dispositivo afectado

La aplicación recibe datos de configuración del servidor de C&C que son necesarios para mostrar anuncios, así como también para mantenerse sigilosa y persistir.

Figura 4. Archivo de configuración recibido desde el servidor de C&C

En cuanto a los métodos para permanecer sin ser detectado y persistir, el atacante hace uso de varios trucos.

Primero, la aplicación maliciosa intenta determinar si está siendo probada por el mecanismo de seguridad de Google Play. Para este fin, la aplicación recibe del servidor de C&C el indicador isGoogleIp, que indica si la dirección IP del dispositivo afectado se encuentra dentro del rango de direcciones IP conocidas para los servidores de Google. Si el servidor devuelve este indicador como positivo, la aplicación no activará el payload del adware.

En segundo lugar, la aplicación puede establecer un retraso personalizado entre la visualización de anuncios. Las muestras que hemos visto tenían una configuración establecida para retrasar la visualización del primer anuncio 24 minutos después de que se desbloquea el dispositivo. Este retraso significa que un procedimiento de prueba típico, que lleva menos de 10 minutos, no detectará ningún comportamiento no deseado. Además, cuanto mayor sea el retraso, menor será el riesgo de que el usuario asocie los anuncios no deseados con una aplicación en particular.

En tercer lugar, según la respuesta del servidor, la aplicación también puede ocultar su icono y crear un acceso directo. Si un usuario típico intenta deshacerse de la aplicación maliciosa, es probable que solo se elimine el acceso directo y que la aplicación continúa ejecutándose en segundo plano sin el conocimiento del usuario. Esta técnica de ocultamiento ha ganado popularidad entre las amenazas relacionadas con adware distribuidas a través de Google Play.

Figura 5. Retraso de tiempo para posponer la visualización de anuncios implementados por el adware

Una vez que la aplicación maliciosa recibe sus datos de configuración, el dispositivo afectado está listo para mostrar anuncios según la elección del atacante; donde cada anuncio se despliega en pantalla completa. Si el usuario desea verificar qué aplicación es responsable del anuncio que se muestra, al presionar el botón "Aplicaciones recientes", se utiliza otro truco: la aplicación muestra un icono de Facebook o Google, como se ve en la Figura 6. El adware imita estas dos aplicaciones para parecer legítimas y evitar sospechas, y así permanecer en el dispositivo afectado el mayor tiempo posible.

Figura 6. La actividad del adware se hace pasar por Facebook (izquierda), pero si el usuario mantiene presionado el ícono, se revela el nombre de la aplicación responsable de la actividad (derecha).

Finalmente, la familia de adware Ashas tiene su código oculto bajo el nombre del paquete com.google.xxx. Este truco, haciéndose pasar por un servicio legítimo de Google, puede ayudar a evitar el escrutinio. Algunos mecanismos de detección y sandboxes pueden incluir en una lista blanca dichos nombres de paquetes, en un esfuerzo por evitar el desperdicio de recursos.

Figura 7. Código malicioso oculto en un paquete llamado "com.google"

Cazando al desarrollador

Utilizando información de código abierto, rastreamos al desarrollador del adware, a quien también identificamos como el operador de la campaña y el propietario del servidor de C&C. En los siguientes párrafos, describimos nuestros esfuerzos para descubrir otras aplicaciones del mismo desarrollador y proteger a nuestros usuarios de él.

Primero, en base a la información asociada con el dominio C&C registrado, identificamos el nombre del registrante, junto con otros datos como el país y la dirección de correo electrónico, como se ve en la Figura 8.

Figura 8. Información sobre el dominio de C&C utilizado por el adware Ashas

Sabiendo que la información proporcionada a un registrador de dominios podría ser falsa, continuamos nuestra búsqueda.

La dirección de correo electrónico y la información del país nos llevaron a una lista de estudiantes que asisten a una clase en una universidad vietnamita, lo que corrobora la existencia de una persona a nombre de la cual se registró el dominio.

Figura 9. Una lista de estudiantes de clase universitaria que incluye el registrante de dominio C&C

Debido a las malas prácticas de privacidad por parte de la universidad, ahora sabemos su fecha de nacimiento (probablemente: aparentemente utilizó su año de nacimiento como parte de su dirección de Gmail, lo cual podría ser una confirmación parcial adicional), sabemos que era un estudiante y a qué universidad asistió. También pudimos confirmar que el número de teléfono que proporcionó al registrador de dominio era genuino. Además, recuperamos su ID Universitario, y con una búsqueda rápida en Google pudimos ver algunas de las calificaciones de sus exámenes. Sin embargo, los resultados de su estudio están fuera del alcance de nuestra investigación.

Según la dirección de correo electrónico de nuestro culpable, pudimos encontrar su repositorio de GitHub. Su repositorio demuestra que es un desarrollador para Android, pero no encontramos ningún código público del adware Ashas al momento de escribir este blog.

Sin embargo, una simple búsqueda en Google del nombre del paquete de adware devolvió un proyecto "TestDelete" que había estado disponible en su repositorio en algún momento.

El desarrollador malicioso también tiene aplicaciones en la App Store de Apple. Algunas de ellas son versiones iOS de las apps que fueron eliminadas de Google Play, pero ninguna contiene funcionalidad de adware.

Figura 10. Las aplicaciones del desarrollador malicioso publicadas en la App Store y que no contienen el adware Ashas

Buscando más sobre las actividades que realiza el desarrollador malicioso, descubrimos también su canal de YouTube propagando el adware Ashas y sus otros proyectos. En cuanto a la familia Ashas, ​​uno de los videos promocionales asociados, "Head Soccer World Champion 2018 - Android, ios" tuvo casi tres millones de reproducciones y otros dos alcanzaron cientos de miles de visualizaciones, como se ve en la Figura 11.

Figura 11. Canal de YouTube del desarrollador malicioso

Su canal de YouTube nos proporcionó otra valiosa información: él mismo aparece en un video tutorial para uno de sus otros proyectos. Gracias a ese proyecto fuimos capaces de llegar a su perfil de Facebook, en el cual se mencionan sus estudios en la universidad antes mencionada.

Figura 12. Perfil de Facebook de la persona que registró el dominio de C&C (imagen de portada y de perfil editadas)

Vinculados al perfil de Facebook del desarrollador descubrimos una página de Facebook, Minigameshouse , y un dominio asociado, minigameshouse[.]net. Este dominio es similar al que utilizó el autor de malware para su comunicación de adware C&C, minigameshouse [.]us.

La comprobación de esta página de Minigameshouse indica además que esta persona es realmente el propietario del dominio minigameshouse [.]us: el número de teléfono registrado en este dominio es el mismo que el número de teléfono que aparece en la página de Facebook.

Figura 13. La página de Facebook administrada por el registrante de dominio de C&C utiliza el mismo nombre de dominio base (minijuegos) y número de teléfono que los C&C maliciosos registrados utilizados por el adware Ashas.

Es interesante que en la página de Facebook de Minigameshouse, más allá de la familia Ashas, el desarrollador malicioso promueve una gran cantidad de juegos para descargar en Google Play y App Store. Sin embargo, todos ellos se han eliminado de Google Play, a pesar del hecho de que algunos de ellos no contenían ninguna funcionalidad de adware. También pudimos ver que los sitios web que recientemente visitó eran páginas de Google Play que pertenecen a aplicaciones que contienen el adware Ashas. También usó en el video su cuenta de correo electrónico para iniciar sesión en varios servicios, que lo identifica como el propietario del dominio de adware, sin ninguna duda.

Además de todo esto, uno de los videos de YouTube del desarrollador malicioso, un tutorial sobre el desarrollo de un "Juego instantáneo" para Facebook, sirve como un ejemplo de seguridad operacional completamente ignorado. Igualmente, gracias al video, pudimos identificar otras tres aplicaciones que contenían funcionalidad de adware y que estaban disponibles en Google Play.

Figura 14. Las capturas de pantalla del video de YouTube de este desarrollador muestran el historial de verificación del adware Ashas en Google Play

Telemetría de ESET

Figura 15. Detecciones de ESET para Android/AdDisplay.Ashas en dispositivos Android por país

¿El adware es dañino?

Debido a que la naturaleza real de las aplicaciones que contienen adware generalmente está oculta para el usuario, estas aplicaciones y sus desarrolladores deben considerarse poco confiables. Cuando se instalan en un dispositivo, las aplicaciones que contienen adware pueden, entre otras cosas:

• Molestar a los usuarios con anuncios intrusivos, incluidos anuncios fraudulentos,
• Desperdiciar los recursos de la batería del dispositivo,
• Generar mayor tráfico de red,
• Recopilar información personal de los usuarios,
• Ocultar su presencia en el dispositivo afectado para lograr persistencia,
• Generar ingresos para su operador sin interacción del usuario.

Conclusión

Basados ​​únicamente en la inteligencia de código abierto, pudimos rastrear al desarrollador del adware Ashas, establecer su identidad y descubrir aplicaciones adicionales infectadas con adware. Al ver que el desarrollador no tomó ninguna medida para proteger su identidad, parece probable que sus intenciones no fueron deshonestas al principio, y esto también se ve respaldado por el hecho de que no todas sus aplicaciones publicadas contenían anuncios no deseados.

En algún momento de su "carrera" en Google Play, aparentemente decidió aumentar sus ingresos publicitarios mediante la implementación de la funcionalidad de adware en el código de sus aplicaciones. Las diversas técnicas de ocultamiento y resistencia implementadas en el adware nos muestran que el culpable era consciente de la naturaleza maliciosa de la funcionalidad adicional e intentó mantenerla oculta.

Introducir funcionalidades no deseadas o dañinas en aplicaciones populares y benignas es una práctica común entre los desarrolladores "malos", y estamos comprometidos a rastrear dichas aplicaciones. Informamos a Google y tomamos otras medidas para interrumpir las campañas maliciosas que descubrimos. Por último, publicamos nuestros hallazgos para ayudar a los usuarios y que sepan cómo protegerse.

Indicadores de Compromiso (IoCs)

Servidor C&C

http://35.198.197[.]119:8080

Técnicas de MITRE ATT&CK

Agradecimientos a @jaymin9687 por presentarnos el problema de anuncios no deseados en la aplicación “Video downloader master”.