Tien miljoen gebruikers van de 'Barcode Scanner-app' die in de Google Play Store werd aangeboden zijn na een update van de app met malware besmet geraakt. Dat laat anti-malware-bedrijf 'Malwarebytes' weten. 'Barcode Scanner' laat gebruikers barcodes en QR-codes scannen. De app was al sinds 2017 in de Google Play Store te vinden.
Malwarebytes
Eind december kreeg anti-malware-bedrijf 'Malwarebytes' een noodoproep van een van de forumbezoekers. Slachtoffers kregen advertenties te zien die vanuit het niets via hun standaard browser werden geopend. Het vreemde is dat geen van hen onlangs apps had geïnstalleerd, en de apps die ze hadden geïnstalleerd kwamen uit de officiële Google Play Store.
Een gebruiker met de gebruikersnaam 'Anon00' ontdekte dat het afkomstig was van een reeds geïnstalleerde app, de app 'Barcode Scanner'. Een app die meer dan 10 miljoen keer gedownload is uit de Google Play Store!
Oorspronkelijk had de app een andere ontwikkelaar. De nieuwe eigenaar rolde in december een update voor de app uit die malware bevatte. Na installatie van de update laadt de malware verschillende websites, toont advertenties en probeert de gebruiker aanvullende apps te laten installeren.
Van een onschuldige scanner-app naar malware-app
Veel van de slachtoffers hadden de app gedurende lange tijd op hun mobiele apparaten geïnstalleerd (één gebruiker had de app al meerdere jaren geïnstalleerd) toen ineens, na een update in december de 'Barcode Scanner' van een onschuldige scanner een malware app werd! Hoewel Google deze app al heeft ingetrokken ontdekte Malwarebytes op basis van een in de cache opgeslagen Google Play-webpagina dat de update plaats gevonden had op 4 december 2020.
Slechte bedoelingen
De meeste gratis apps op Google Play bevatten een vorm van in-app-advertenties. Dit doen ze door een advertentie-SDK toe te voegen aan de code van de app. Meestal aan het einde van de ontwikkeling van de app. Bij betaalde versies is deze SDK eenvoudigweg niet inbegrepen.
Advertentie-SDK's kunnen afkomstig zijn van verschillende externe bedrijven en een bron van inkomsten zijn voor de app-ontwikkelaar. Het is een win-winsituatie voor iedereen. Gebruikers krijgen een gratis app, terwijl de app-ontwikkelaars en de advertentie-SDK-ontwikkelaars worden betaald.
Maar af en toe kan een advertentie-SDK-bedrijf iets aan hun kant veranderen en kunnen advertenties een beetje agressief worden. Soms zelfs dat de app in de categorie komt te staan van Adware. Wanneer dit gebeurt, is het niet de app-ontwikkelaar, maar het SDK-bedrijf. Ik leg deze methode uit om aan te geven dat het in dit geval van de 'Barcode Scanner' niet het geval is.
Nee, in het geval van de 'Barcode Scanner' was er kwaadaardige code toegevoegd die niet in eerdere versies van de app te zien waren. Bovendien gebruikte ze "sterk gecamoufleerde code" om detectie te voorkomen. Vanwege de kwaadaardige bedoelingen is de app niet ingedeeld in de categorie Adware maar direct bij de malafide apps ingedeeld met de label Trojan (Trojan.HiddenAds.AdQR).
Het moeilijkste deel van malware-analyse is het repliceren van wat de slachtoffers ervaren. Bij deze malware van de 'Barcode Scanner' werd het meteen duidelijk na installatie. Bekijk de korte video hieronder om het kwaadaardige gedrag te zien:
De blijft op smartphone
Het verwijderen van een app uit de Google Play Store betekent niet noodzakelijk dat deze ook van de betrokken mobiele apparaten wordt verwijderd. Tenzij Google Play Protect het achteraf verwijdert, blijft het op het apparaat staan. Dit is precies wat gebruikers ervaren met 'Barcode Scanner'. Dus totdat de slachtoffers een malware scanner zoals Malwarebytes voor Android installeren of de app handmatig verwijderen blijft deze advertenties weergeven.
Buiten zicht Google Play Protect
Het is moeilijk te zeggen hoe lang 'Barcode Scanner' als legitieme app in de Google Play Store heeft gestaan voordat deze kwaadaardig werd. Op basis van het hoge aantal installaties en gebruikersfeedback vermoeden we dat het er al jaren is. Het is beangstigend dat een app met één update kwaadaardig kan worden terwijl de app onder de radar van Google Play Protect blijft. Het is verbazingwekkend dat een app-ontwikkelaar van een populaire app er zomaar malware heeft van kunnen maken. Was dit al die tijd al het plan om van een legitieme app er uiteindelijk malware van te maken? We zullen er waarschijnlijk nooit achterkomen, maar het feit dat het mogelijk is dat alleen is al zorgwekkend.
App-informatie
Uitgeverij:
LavaBird LTD
Applicatie naam:
Barcode Scanner
MD5:
A922F91BAF324FA07B3C40846EBBFE30
Pakketnaam: Google Play URL:
com.qrcodescanner.barcodescanner
https://play.google.com/store/apps/details?id=com.qrcodescanner.barcodescanner(oorspronkelijke link)
Malware gerelateerde berichten
Android apparaten malware, het lukt Google maar niet
Op ruim 7,4 miljoen Android apparaten is vooraf geïnstalleerde malware gevonden. De malware was in staat om apparaten over te nemen, apps op de achtergrond te downloaden en advertentiefraude te plegen.
Nieuwe Malware gericht op Windows Systemen
Cybercrime deskundigen van beveiligingsbedrijf Proofpoint hebben een nieuwe malware gevonden die zich op Windows-systemen richt. Het zogeheten 'SystemBC' installeert een proxy op een geïnfecteerde computer en probeert andere malware binnen te krijgen.
Amerikaanse overheid luidt de noodklok "Malware Ransomware aanvallen"
Een schooldistrict in de Amerikaanse staat Alabama heeft de start van het nieuwe schooljaar voor de tweede keer moeten uitstellen wegens malware. De malware infecteerde een server van het schooldistrict en had vervolgens gevolgen voor allerlei computers en het telefoonsysteem
Nieuw type Malware, creëert miljard valse Advertentie impressies
Digitale specialisten hebben een nieuw type malware ontdekt dat valse advertentie impressies creëert om frauduleuze advertentie inkomsten te genereren. In een paar maanden creëerde de malware meer dan een miljard valse impressies, weet ZDNet te vertellen.
Politie pakt Utrechter op voor het ontwikkelen van Malware
De politie heeft een 20-jarige man aangehouden op verdenking van het ontwikkelen en verkopen van malware.
Malware infecteert 25 miljoen mobile apparaten
Online beveiliger Check Point Research heeft een nieuwe variant van mobiele malware ontdekt, die ongemerkt rond de 25 miljoen apparaten heeft geïnfecteerd, waaronder alleen al 15 miljoen apparaten in India.
Cybercriminelen gebruiken gespannen politieke situatie om bepaalde groepen te infecteren met malware
Security bedrijf 'Check Point Research' kwam onlangs een grootschalige campagne tegen die jarenlang Facebook pagina's gebruikte om malware te verspreiden.
Excel kan malware binnenlaten
Een functie in Excel kan er voor zorgen dat malware via een toegestuurd Excel-bestand wordt binnengehaald. Microsoft is niet van plan een patch uit te brengen omdat de functie omzeild kan worden.
Nieuwe Malware 'Mirai-variant' besmet IoT-apparaten
Onderzoekers hebben een nieuwe variant van de beruchte Mirai-malware ontdekt die dertien verschillende exploits gebruikt om Internet of Things-apparaten (IoT) te infecteren. De exploits maken misbruik van bekende kwetsbaarheden in digitale videorecorders, routers en andere apparaten.
Britse WannaCry onderzoeker bekent schrijven van malware
De Britse security-onderzoeker die de uitbraak van het gijzelvirus Wannacry stopte, heeft schuld bekend aan het maken en verspreiden van malware.
47.000 computers besmet met Emotet Malware
Antispam organisatie Spamhaus heeft 47.000 computers ontdekt die met de Emotet malware besmet zijn. Emotet bestaat al sinds 2014 en was oorspronkelijk malware voor het stelen van bankgegevens. Inmiddels is het een "modulaire malwarefamilie" die allerlei aanvullende malware op systemen kan installeren.
Ernstige kwetsbaarheid gevonden in Google Chrome
Afgelopen week bracht Google een update uit voor de Chrome-browser voor Windows, Mac, Android en ChromeOS. Nu laat Google weten dat de update bedoeld was om een ernstig lek te dichten. Met behulp van de bug zouden hackers een cyberaanval uit kunnen voeren, door malware te installeren op pc’s. Google raadt aan de update zo snel mogelijk door te voeren.