Аналитики "Доктор Веб" обнаружили в Google Play малварь, которой был присвоен идентификатор Android.DownLoader.818.origin. Троян был найден в VPN-клиенте под названием "Turbo VPN – Unlimited Free VPN & Proxy", который скачали более 11000 раз.
Название вредоносного приложения практически полностью совпадало с именем популярного VPN-клиента компании Innovative Connecting, которая к созданию подделки, конечно, отношения не имеет. Выдавая свою малварь за известное ПО для подключения к VPN, ее авторы пытались ввести потенциальных жертв в заблуждение и увеличить количество загрузок.
При запуске троян пытался получить разрешение на чтение и запись файлов, показывая пользователю соответствующий запрос. После этого он запрашивал доступ к правам администратора устройства.
При этом вредоносное приложение действительно позволяло работать с VPN – при его создании злоумышленники позаимствовали наработки из проекта с открытым кодом OpenVPN. Однако те, кто установил приложение, воспользоваться им не смогли – после получения необходимых системных привилегий троян удалял свой значок из списка программ. С этого момента запустить троянский VPN-клиент самостоятельно становилось невозможно.
После того как вредоносная программа скрывалась от пользователя, она незаметно скачивала с удаленного сервера apk-файл и сохраняла на карту памяти. Затем она "брала пользователя измором", предлагая установить загруженное приложение до тех пор, пока жертва не соглашалась на это.
На момент обнаружения и анализа угрозы скачиваемый малварью файл представлял собой трояна Android.HiddenAds.710, который предназначен для показа рекламы. Однако в зависимости от настроек сервера и целей злоумышленников вредоносный VPN-клиент способен загрузить и попытаться установить на устройство любое другое вредоносное или нежелательное приложение.
Вот поэтому лучше пользоваться собственным VPN-сервером VPNext, который не требует устанавливать сторонние приложения для подключения. Помните, что безопасность не бывает частичной!
По материалам Хакер.ru
