Эксперты SophosLabs обнаружили в каталоге приложений Google Play как минимум 25 приложений со встроенными криптовалютными майнерами. Малварь маскировалась под игры, утилиты и обучающие приложения. По данным исследователей, суммарно эти приложения были загружены более 120 000 раз.
Так как майнинговые решения официально запрещены в Google Play, злоумышленники внедряли в приложения JavaScript-майнера CoinHive. Буквально пара строк кода позволяют добавить в приложение майнера, который будет добывать Monero с помощью CPU мобильного устройства и задействовав браузер WebView. Кроме того, злоумышленники старались ограничивать майнера таким образом, чтобы тот не нагружал процессор устройства слишком сильно, избегая перегревания устройства, быстрой разрядки батареи и других других подозрительных для пользователей признаков.
11 из 25 приложений были предназначены для подготовки к разным американским страндартизированным тестам, таким, как ACT, GRE, SAT. Все они были опубликованы одним разработчиком (Gadgetium).
Многие обнаруженные приложения содержали JavaScript, который загружал HTML-страницу, используя WebView, и запускал на ней майнера. Большинство приложений хостили свои скрипты на coinhive[.] com, но еще два приложения (co.lighton и com.mobeleader.spsapp) так же задействовали для этого и собственные серверы, очевидно, чтобы обойти файрволы и другие защитные механизмы. Еще одно приложение (de.uwepost.apaintboxforkids) и вовсе использовало опенсорсный майнер XMRig.
Разработчиков Google уведомили о проникших в каталог майнерах еще в августе 2018 года, и в настоящее время некоторые их них уже исключены из каталога.