Масштабная кампания мошенничества с рекламой: 331 вредоносное приложение с 60+ миллионами загрузок атакуют пользователей через навязчивую рекламу

Прежде чем разбираться в механике кампании, стоит понимать, под каким видом эти приложения попадали на устройства пользователей. Мошенники не ограничивались абстрактными «утилитами» — среди зараженных программ были найдены, в частности, приложения-считыватели QR-кодов, инструменты для мониторинга здоровья и сна, а также сборники обоев для рабочего стола. Именно такая маскировка под привычные и на первый взгляд безопасные категории софта позволяла обходить внимание пользователей и модераторов Google Play на начальном этапе публикации.

---

Исследователи в области кибербезопасности предупреждают о масштабной кампании мошенничества с рекламой, которая использовала сотни вредоносных приложений, опубликованных в Google Play Store, для показа полноэкранной рекламы и проведения фишинговых атак.

“Приложения отображают рекламу вне контекста и даже пытаются убедить жертв предоставить учетные данные и информацию о кредитных картах в ходе фишинговых атак,” — говорится в отчете Bitdefender, предоставленном The Hacker News.

Нажмите, чтобы раскрыть...

Подробности активности

Деятельность впервые была раскрыта Integral Ad Science (IAS) в начале марта 2025 года. Компания задокументировала обнаружение более 180 приложений, созданных для показа бесконечной и навязчивой полноэкранной видеорекламы. Схеме мошенничества было присвоено кодовое имя Vapor.
Эти приложения, которые теперь удалены Google, маскировались под легитимные программы и в совокупности набрали более 56 миллионов загрузок. Кампания генерировала свыше 200 миллионов рекламных запросов в день. Маскируясь под безобидные утилиты, приложения для фитнеса и лайфстайла, мошенники успешно вводили в заблуждение пользователей, заставляя их устанавливать вредоносные приложения. Кампания продолжается, а последнее зараженное приложение было опубликовано в Google Play Store в первой неделе марта 2025 года.

“Мошенники, стоящие за операцией Vapor, создали множество аккаунтов разработчиков, каждый из которых содержал лишь несколько приложений. Это позволило распределить операцию и избежать обнаружения,” — отметила IAS Threat Lab. “Такая схема обеспечивает минимальное воздействие на общую операцию в случае блокировки отдельного аккаунта.”

Нажмите, чтобы раскрыть...

Использование техники «версионирования»
Злоумышленники применяют хитрую технику под названием “версионирование”, публикуя функциональное приложение без вредоносных функций, чтобы пройти проверку Google. Вредоносный код добавляется в последующих обновлениях, заменяя легитимные функции на методы максимизации дохода через видеорекламу.
Кроме того, реклама блокирует весь экран устройства, мешая пользователю использовать его, фактически делая устройство непригодным для работы. Предполагается, что кампания началась в апреле 2024 года и расширилась в начале 2025 года. Более 140 поддельных приложений было загружено в Play Store только в октябре и ноябре 2024 года.

Масштаб кампании
Новые данные от румынской компании Bitdefender показывают, что кампания оказалась крупнее, чем считалось ранее: она включает 331 приложение с более чем 60 миллионами загрузок. Некоторые приложения скрывали свои значки из лаунчера, а также пытались собирать данные кредитных карт и учетные данные пользователей, отображая поддельные страницы. Вредоносное ПО также способно эксфильтрировать информацию об устройстве на серверы, контролируемые атакующими.

Bitdefender — это международная компания, специализирующаяся на разработке программного обеспечения для обеспечения информационной безопасности. Она предоставляет решения для защиты от различных видов киберугроз, включая антивирусы, защиту от вредоносного ПО, решений для кибербезопасности корпоративного уровня и облачных систем.

Нажмите, чтобы раскрыть...

Техника уклонения от обнаружения
Злоумышленники использовали такие методы, как:
• Применение Leanback Launcher, предназначенного для устройств на базе Android TV.

Leanback Launcher — это лаунчер (оболочка интерфейса), специально разработанный для Android TV и других устройств на базе Android, ориентированных на использование на телевизорах. Он оптимизирован для взаимодействия с большим экраном и обеспечивает удобный доступ к приложениям, контенту и настройкам с помощью пульта дистанционного управления.

Нажмите, чтобы раскрыть...

• Смена имени и значка приложения, чтобы маскироваться под Google Voice.
• Обход ограничений Android, позволяя приложениям запускаться без взаимодействия пользователя даже на Android 13.

Реакция Google
Google удалил все выявленные приложения из Play Store.

“Все приложения из данного отчета были удалены из Google Play. Пользователи Android также автоматически защищены функцией Google Play Protect, которая включена по умолчанию на устройствах с Google Play Services,” — заявил представитель Google.

Нажмите, чтобы раскрыть...