Аналитики «Доктор Веб» обнаружили в официальном каталоге приложений Google Play малварь, которой был присвоен идентификатор Android.DownLoader.818.origin. Троян был найден в составе VPN-клиента, приложения под названием Turbo VPN – Unlimited Free VPN & Proxy, которое загрузили свыше 11 000 раз.

Исследователи отмечают, что название вредоносного приложения практически полностью совпадало с именем популярного VPN-клиента Turbo VPN — Unlimited Free VPN & Fast Security VPN компании Innovative Connecting, которая к созданию подделки, разумеется, не имеет никакого отношения. Сходство названий определенно не было случайным. Выдавая свою малварь за известное ПО для подключения к частным виртуальным сетям, ее авторы явно пытались ввести потенциальных жертв в заблуждение и увеличить число загрузок.

При запуске троян пытался получить разрешение на чтение и запись файлов, показывая пользователю соответствующий запрос. После этого он запрашивал доступ к правам администратора устройства.

При этом вредоносное приложение действительно позволяло работать с VPN-сетями — при его создании злоумышленники позаимствовали наработки из проекта с открытым исходным кодом OpenVPN for Android. Однако те, кто установил, приложение, воспользоваться им не смогли — после получения необходимых системных привилегий троян удалял свой значок из списка программ главного экрана операционной системы. С этого момента запустить троянский VPN-клиент самостоятельно становилось невозможно.

После того как вредоносная программа скрывалась от пользователя, она незаметно скачивала с удаленного сервера apk-файл и сохраняла на карту памяти. Затем она брала пользователя измором и предлагала установить загруженное приложение до тех пор, пока жертва не соглашалась это сделать. Пример сообщения, которым малварь вынуждала выполнить установку другой программы, показан ниже.

На момент обнаружения и анализа угрозы скачиваемый малварью файл представлял собой трояна Android.HiddenAds.710, который предназначен для показа рекламы. Однако в зависимости от настроек сервера и целей злоумышленников вредоносный VPN-клиент способен загрузить и попытаться установить на устройство любое другое вредоносное или нежелательное приложение.

Специалисты «Доктор Веб» оповестили корпорацию Google о найденной в Google Play опасной программе, после чего та была оперативно удалена из каталога.

Теги: CSS, Google Play этого VPN-клиент Однако