Baden-Baden, 8. August 2019

Trojan.Clicker sind gängige schädliche Programme, die zur Manipulation von Website-Aufrufen und Monetarisierung des Online-Traffics eingesetzt werden. Sie imitieren Handlungen der Nutzer auf Webseiten, indem sie auf Links und andere interaktive Elemente klicken. Die Virenanalysten von Doctor Web haben einen solchen Trojaner im Google Play Store ausfindig gemacht.

Dieser Trojaner stellt ein böswilliges Modul dar, das in der Klassifikation von Dr.Web den Namen Android.Click.312.origin trägt. Es ist in gängige Apps wie Wörterbücher, Online-Karten, Audio-Player, Barcodescanner und andere Software integriert. All diese Apps sind funktionsfähig und sehen für Besitzer von Android-Geräten harmlos aus. Darüber hinaus startet Android.Click.312.origin seine Aktivitäten erst nach 8 Stunden, um bei den Nutzern keinen Verdacht zu erregen.

Nachdem der Trojaner gestartet hat, sendet er die folgenden Informationen über das infizierte Gerät an den Server der Cyber-Kriminellen:

• Hersteller und Modell;
• Version des Betriebssystems;
• Wohnsitz des Nutzers und die Standardsprache des Betriebssystems;
• User-Agent ID;
• Name des Mobilfunkbetreibers;
• Art der Internetverbindung;
• Bildschirmeinstellungen;
• Zeitzone;
• App, in die der Trojaner eingebettet ist.

Daraufhin sendet der Server die notwendigen Einstellungen an den Schädling. Diese Einstellungen enthalten Namen von Methoden und Klassen mit den entsprechenden Parametern. Mi Hilfe dieser Parameter ist Android.Click.312.origin in der Lage, die Installation und Aktualisierung von Apps zu überwachen.

Wenn eine neue App installiert oder eine apk-Datei vom Play Store Client heruntergeladen wird, überträgt der Trojaner Informationen über die App an den Server der Cyberkriminellen. Android.Click.312.origin erhält daraufhin Adressen der Webseiten, die er dann im unsichtbaren WebView öffnet, und Links, die er im Browser oder Google Play Store herunterlädt.

So kann der Trojaner je nach Servereinstellungen und Anweisungen des Administrators nicht nur Apps auf Google Play bewerben, sondern auch Websites im Hintergrund herunterladen, u.a. mit Werbung (einschließlich Videos) oder anderen fragwürdigen Inhalten. Nach der Installation der Apps, in die der Trojaner eingebettet war, beschwerten sich einige Nutzer über automatisch erstellte Abos von teuren Content-Anbietern.

Den Malwareanalysten von Doctor Web ist es nicht gelungen, die Bedingungen für das Herunterladen solcher Webseiten durch den Trojaner zu rekonstruieren, aber die betrügerische Methode unter Einsatz von Android.Click.312.origin ist einfach. Da der Trojaner dem Server eine aktuelle Internetverbindung mitteilt, kann der Server bei einer Internetverbindung über den Mobilfunkanbieter einen Befehl zum Öffnen einer Website, die die WAP-Сlick-Technologie unterstützt, senden. Diese Technologie vereinfacht das Abonnieren von verschiedenen Premium-Diensten, wird aber oft illegal eingesetzt. Dieses Problem wurde von uns bereits in den Jahren 2017 und 2018 beschrieben. Um einen unnötigen Dienst zu abonnieren ist in einigen Fällen eine Benutzerbestätigung überhaupt nicht nötig: Ein Skript oder der Trojaner selbst kann dies für den Nutzer tun. Der Schädling wird auch auf die Bestätigungstaste klicken und eine Zielseite im unsichtbaren WebView öffnen – somit erfolgt der Vorgang ohne Wissen und Beteiligung des Opfers.

Die Virenanalysten von Doctor Web identifizierten 34 Apps, in die Android.Click.312.origin eingebettet war. Sie wurden von über 51 700 000 Anwendern installiert. Darüber hinaus wurde eine Modifikation des Trojaners namens Android.Click.313.origin von mindestens 50 000 000 Nutzern heruntergeladen. Damit liegt die Gesamtzahl der vom Trojaner bedrohten Nutzer bei über 101 700 000. Nachfolgend finden Sie eine Liste von Apps, in denen der Schädling gefunden wurde:

Die Informationen über den Trojaner wurden von Doctor Web an Google weitergegeben. Einige Apps wurden aus dem Google Play Store schnell entfernt. Darüber hinaus wurden Updates für mehrere Apps, die keine böswilligen Komponente mehr haben, freigegeben. Zum Zeitpunkt dieser Pressemitteilung enthielten die meisten Apps jedoch immer noch ein böswilliges Modul und standen weiterhin zum Download bereit.

Virenanalysten von Doctor Web empfehlen Entwicklern, vertrauenswürdige Module zur Monetarisierung von Apps sorgfältig auszuwählen und keine zweifelhaften SDKs zu integrieren. Dr.Web Produkte für Android erkennen und entfernen Apps, die bekannte Versionen von Android.Click.312.origin enthalten. Deshalb stellt der Schädling für unsere Nutzer keine Bedrohung dar.

Mehr zu Android.Click.312.origin

Ihr Android-Gerät braucht einen Malwareschutz.

Nutzen Sie Dr.Web

• Eine der ersten Malwareschutz-Apps für Android weltweit
• Über 140 Mio Downloads – nur auf Google Play
• Kostenlos für Nutzer von Dr.Web Produkten für Heimanwender

KOSTENLOS HERUNTERLADEN

#Android #Google_Play/p>