CERT Polska: Meta reklamları polyak Android istifadəçilərini bahalı SMS tələsinə saldı

Polşanın kompüter insidentlərinə cavab qrupu CERT Polska Meta platformalarındakı ödənişli reklamlarla polyak istifadəçiləri Google Play-də yayılan zərərli proqramlara yönləndirən Android mobil ödəniş fırıldaqçılığı əməliyyatını araşdırıb. Qrup 1 235 Meta reklamını saxlayıb; 60 profil adı altında yayımlanan 852 reklam kod və ya infrastruktur üzrə əməliyyatla əlaqələndirilən 17 tətbiqi təbliğ edirdi.

İki reklamdan geniş kampaniyaya

Araşdırma 14 sentyabrda istifadəçiləri PDF tətbiqinin müddətinin bitdiyi barədə yanlış xəbərdar edən iki Facebook reklamı ilə başlayıb. Klikləyən şəxs Google Play-də PDF ilə əlaqəsi olmayan SMS tətbiqi Messenger Pro-nun səhifəsinə keçirdi. CERT Polska-ya görə, tətbiq həqiqətən messencer kimi işləyir və qanuni şəkildə defolt SMS proqramı olmağı xahiş edə bilirdi; lakin arxa planda şifrələnmiş modulu bərpa edir, SIM kartın ölkə kodunu (Polşa üçün MCC 260) yoxlayır və son fırıldaqçılıq yükünü endirirdi. 17 tətbiqdən 6-sında təsdiqlənmiş fırıldaqçılıq komponentləri, 11-də isə zərərli yükləyicilər var idi.

Ödəniş tələsi necə işləyirdi

Bu cür fırıldaqçılıq abunəçini razılığı olmadan ödənişli xidmətə qoşur. CERT Polska iki yol qeydə alıb. Birincidə zərərli proqram yaradılan açar sözləri premium SMS-in qısa nömrələrinə göndərirdi; hər mesaj 30,75 zloti (təxminən 8 dollar) idi. Üç nömrə — 92505, 92512 və 92513 — UKE-nin ictimai reyestrində aktiv premium xidmət kimi qeydiyyatdan keçmişdi və dörd böyük operatorun hamısında işləyirdi: Orange, T-Mobile, Play və Polkomtel. İkinci yolda zərərli proqram brauzerdə operator ödəniş axınını avtomatik icra edir, təsdiq SMS-ni də tutur və Teleaudio-nun yeddi gündə bir 17 zloti (təxminən 4,4 dollar) tələb edən təklifinə çatırdı.

CERT Polska-nın baş təhlükəsizlik mühəndisi Kacper Ratajczak bildirib ki, əməliyyat eyni anda iki platformaya söykənirdi: "Tanış lentdəki reklamlar platformanın öz etimadını daşıdığı üçün saxta PDF xəbərdarlıqları adi təbliğat kimi görünürdü." CERT Polska neçə şəxsin zərər çəkdiyini və ümumi itkini açıqlamayıb.

Silinmələr və qalan risk

CERT Polska Messenger Pro-nu 15 sentyabrda Google-a bildirib. Google həmin tətbiqi və araşdırmada aşkarlanan digərlərini mağazadan çıxarıb, Meta isə bildirilən reklamları silib. Bu addımlar yeni quraşdırmaları dayandırdı, lakin cihazlarda artıq quraşdırılmış kopyalara təsir etmədi: CERT-ə görə idarəetmə infrastrukturu araşdırma boyu işləyib və yeni cihazlara tapşırıqlar göndərib. Silinmələrdən sonra yeni paketlər də peyda olub, ona görə zərərli tətbiqi quraşdıranlar onu cihazdan silməlidir.