近日，有研究人員發(fā)現(xiàn)在惡意 SDK 供應(yīng)鏈攻擊中，有黑客通過 Google Play 在 1100 萬臺(tái)設(shè)備上安裝了新版本的 Necro 惡意安卓載入器。

這種新版 Necro 木馬是通過合法應(yīng)用程序、安卓游戲 mod 和 Spotify、WhatsApp 和 Minecraft 等流行軟件的修改版所使用的惡意廣告軟件開發(fā)工具包 (SDK) 安裝的。

Necro 會(huì)在受感染設(shè)備上安裝多個(gè)有效載荷，并激活各種惡意插件，包括：

• 通過隱形 WebView 窗口加載鏈接的廣告軟件（Island 插件、Cube SDK）
• 下載和執(zhí)行任意 JavaScript 和 DEX 文件的模塊（Happy SDK、Jar SDK）
• 專為訂閱欺詐提供便利的工具（Web 插件、Happy SDK、Tap 插件）
• 將受感染設(shè)備用作代理來路由惡意流量的機(jī)制（NProxy 插件）

Google Play 上的 Necro 木馬

卡巴斯基在 Google Play 上的兩個(gè)應(yīng)用程序中發(fā)現(xiàn)了 Necro 載入器，這兩個(gè)應(yīng)用程序都擁有大量用戶。

第一個(gè)是 “Benqu ”的 Wuta Camera，這是一款照片編輯和美化工具，在 Google Play 上的下載量超過 1000萬次。

Google Play 上的 Wuta 相機(jī)應(yīng)用程序，來源：BleepingComputer

威脅分析師報(bào)告稱，Necro是在6.3.2.148版本發(fā)布時(shí)出現(xiàn)在該應(yīng)用上的，直到6.3.6.148版本，卡巴斯基才通知谷歌。

雖然該木馬在6.3.7.138版本中被移除，但任何可能通過舊版本安裝的有效載荷仍可能潛伏在安卓設(shè)備上。

第二個(gè)攜帶 Necro 的合法應(yīng)用程序是 “WA message recover-wamr ”的 Max Browser，它在 Google Play 上有 100 萬下載量，直到卡巴斯基報(bào)告后才被刪除。

卡巴斯基稱，Max Browser的最新版本1.2.0仍攜帶Necro，目前暫沒有安全版本可供升級(jí)，建議該瀏覽器的用戶立即卸載，換用其他瀏覽器。

卡巴斯基稱，這兩款應(yīng)用程序是被一個(gè)名為 “Coral SDK ”的廣告SDK感染的，該SDK主要采用混淆技術(shù)來隱藏其惡意活動(dòng)，同時(shí)還利用圖像隱寫術(shù)來下載第二級(jí)有效載荷shellPlugin，并偽裝成無害的PNG圖像。

感染鏈路圖 來源：卡巴斯基

谷歌表示他們知道這些被舉報(bào)的應(yīng)用程序，并正在對(duì)其進(jìn)行調(diào)查。

Necro 木馬也通過其他非官方渠道傳播

在 Play Store 之外，Necro 木馬主要通過非官方網(wǎng)站發(fā)布的流行應(yīng)用程序的修改版本（mods）進(jìn)行傳播。

卡巴斯基發(fā)現(xiàn)的著名例子包括 WhatsApp mods “GBWhatsApp ”和 “FMWhatsApp”，它們承諾提供更好的隱私控制和擴(kuò)展文件共享限制。另一個(gè)例子是 Spotify mod “Spotify Plus”，它承諾免費(fèi)使用無廣告的高級(jí)服務(wù)。

傳播惡意 Spotify Mod 的網(wǎng)站 來源：卡巴斯基

報(bào)告中還提到了感染 Necro 載入器的 Minecraft mod 和其他流行游戲的 mod，如 Stumble Guys、Car Parking Multiplayer 和 Melon Sandbox。

在所有情況下，惡意行為都是在后臺(tái)顯示廣告為攻擊者帶來欺詐性收入、未經(jīng)用戶同意安裝應(yīng)用程序和 APK，以及使用隱形 WebViews 與付費(fèi)服務(wù)進(jìn)行交互。

由于非官方的安卓軟件網(wǎng)站不會(huì)如實(shí)報(bào)告下載數(shù)量，因此最新一輪 Necro 木馬感染的總數(shù)量尚不得而知，但至少有 1100 萬次來自 Google Play。