Το κρυφό malware NoVoice που έκρυβαν παιχνίδια και εργαλεία καθαρισμού στο Google Play

Ερευνητές ασφαλείας της McAfee εντόπισαν νέο malware για Android, που ονομάστηκε NoVoice, μέσα σε περισσότερες από 50 εφαρμογές του Google Play Store. Οι εφαρμογές αυτές είχαν εγκατασταθεί συνολικά 2,3 εκατομμύρια φορές πριν η Google τις αφαιρέσει. Η απειλή αφορά κυρίως συσκευές που δεν έχουν λάβει ενημερώσεις ασφαλείας από τον Μάιο του 2021 και μετά.

Εφαρμογές καθημερινής χρήσης ως φορείς της επίθεσης

Το NoVoice δεν κρύβεται σε ύποπτες εφαρμογές ή αρχεία από άγνωστες πηγές. Ανακαλύφθηκε μέσα σε εφαρμογές που φαίνονται απολύτως αθώες: εργαλεία καθαρισμού συστήματος, παιχνίδια και γκαλερί εικόνων. Μία από τις εφαρμογές που αναφέρθηκε ονομάζεται SwiftClean, με developer τον Biodun Popoola.

Ο τρόπος λειτουργίας του malware είναι ιδιαίτερα ύπουλος: ένα αθόρυβο αρχείο ήχου αναπαράγεται στο μηδέν χιλιοστά του decibel, επιτρέποντας στον κακόβουλο κώδικα να εκτελείται στο παρασκήνιο χωρίς ο χρήστης να αντιλαμβάνεται τίποτα. Από εκεί πήρε και το όνομά του.

Τι μπορεί να κάνει στη συσκευή σου

Μόλις εγκατασταθεί η μολυσμένη εφαρμογή, το malware εκμεταλλεύεται τρωτά σημεία του Android για να αποκτήσει πρόσβαση root. Με αυτή την πρόσβαση, οι επιτιθέμενοι μπορούν να αποσπάσουν ονόματα χρήστη και κωδικούς πρόσβασης από εφαρμογές χρηματοπιστωτικών υπηρεσιών, αλλά και να εγκαθιστούν ή να διαγράφουν εφαρμογές στη συσκευή χωρίς τη γνώση του χρήστη. Σε ορισμένες περιπτώσεις, μέρος του malware εγκαθίσταται τόσο βαθιά στο σύστημα που ακόμα και η επαναφορά εργοστασιακών ρυθμίσεων δεν αρκεί για την πλήρη αφαίρεσή του.

Ποιες συσκευές κινδυνεύουν — και ποιες όχι

Η Google ανακοίνωσε ότι οι συσκευές Android που έχουν λάβει ενημερώσεις ασφαλείας από τον Μάιο του 2021 και έπειτα είναι προστατευμένες από το NoVoice. Αυτό σημαίνει ότι η συντριπτική πλειονότητα των ενεργών συσκευών σήμερα δεν διατρέχει ουσιαστικό κίνδυνο, εφόσον έχουν εφαρμοστεί οι τελευταίες ενημερώσεις.

Επιπλέον, η McAfee παρατήρησε ότι σε ορισμένες περιοχές της Κίνας, συγκεκριμένα στο Πεκίνο και στη Σεντζέν, το malware δεν μόλυνε τις συσκευές — χαρακτηριστικό που συνηθίζεται σε κακόβουλα λογισμικά που αναπτύσσονται εντός της χώρας, ώστε να αποφεύγουν τις τοπικές αρχές.

Τι έκανε η Google

Το Google Play Protect, το ενσωματωμένο σύστημα ασφαλείας της πλατφόρμας, εντόπισε και αφαίρεσε αυτόματα τις μολυσμένες εφαρμογές, ενώ παράλληλα μπλόκαρε κάθε νέα εγκατάστασή τους. Η Google συνέστησε σε όλους τους χρήστες Android να εγκαθιστούν πάντα τις διαθέσιμες ενημερώσεις ασφαλείας, υπογραμμίζοντας ότι αυτό παραμένει η πιο αποτελεσματική άμυνα.

Η άποψή μας στο Techblog

Το NoVoice είναι ακόμα ένα παράδειγμα που δείχνει ότι το Google Play Store, παρά τους μηχανισμούς ελέγχου του, δεν αποτελεί εγγύηση ασφάλειας από μόνο του. Το γεγονός ότι 50+ εφαρμογές με συνολικά 2,3 εκατομμύρια εγκαταστάσεις πέρασαν «τον έλεγχο» πριν εντοπιστούν, είναι κάτι που δεν μπορεί να αγνοηθεί. Η ενημέρωση της συσκευής δεν είναι προαιρετική — είναι ο πιο βασικός τρόπος να προστατευτείς από τέτοιου είδους επιθέσεις.