Эксперты SophosLabs обнаружили в каталоге приложений Google Play как минимум 25 приложений со встроенными криптовалютными майнерами. Малварь маскировалась под игры, утилиты и обучающие приложения. По данным исследователей, суммарно эти приложения были загружены более 120 000 раз.

Так как майнинговые решения официально запрещены в Google Play, злоумышленники внедряли в приложения jаvascript-майнера CoinHive. Буквально пара строк кода позволяют добавить в приложение майнера, который будет добывать Monero с помощью CPU мобильного устройства и задействовав браузер WebView. Кроме того, злоумышленники старались ограничивать майнера таким образом, чтобы тот не нагружал процессор устройства слишком сильно, избегая перегревания устройства, быстрой разрядки батареи и других других подозрительных для пользователей признаков.

11 из 25 приложений были предназначены для подготовки к разным американским страндартизированным тестам, таким,  как ACT, GRE, SAT. Все они были опубликованы одним разработчиком (Gadgetium).

Многие обнаруженные приложения содержали jаvascript, который загружал HTML-страницу, используя WebView, и запускал на ней майнера. Большинство приложений хостили свои скрипты на coinhive[.] com, но еще два приложения  (co.lighton и com.mobeleader.spsapp) так же задействовали для этого и собственные серверы, очевидно, чтобы обойти файрволы и другие защитные механизмы.  Еще одно приложение (de.uwepost.apaintboxforkids) и вовсе использовало опенсорсный майнер XMRig.

Разработчиков Google уведомили о проникших в каталог майнерах еще в августе 2018 года, и в настоящее время некоторые их них уже исключены из каталога.

Теги: CSS, приложений Google были злоумышленники устройства