Skadliga appar från en kampanj som heter "Agent Smith" har laddats ner till 25 miljoner Android-enheter, enligt ny forskning från cybersäkerhetsföretaget Check Point.

Apparna, de flesta av dem spel, distribuerades via tredjepartsappbutiker av en kinesisk grupp med ett legitimt företag som hjälper kinesiska utvecklare att marknadsföra sina appar på externa plattformar. Check Point identifierar inte företaget, eftersom de arbetar med lokal brottsbekämpning. Cirka 300, 000 enheter infekterades i USA

Skadlig programvara kunde kopiera populära appar på telefonen, inklusive WhatsApp och webbläsaren Opera, injicera sin egen skadliga kod och ersätt den ursprungliga appen med den beväpnade versionen, använder en sårbarhet i hur Googles appar uppdateras. De kapade apparna skulle fortfarande fungera bra, som gömde skadlig programvara för användare.

Beväpnad med alla behörigheter som användare hade gett till de riktiga apparna, "Agent Smith" kunde kapa andra appar på telefonen för att visa oönskade annonser för användare. Det kanske inte verkar vara ett stort problem, men samma säkerhetsbrister kan användas för att kapa banker, shopping och andra känsliga appar, enligt Aviran Hazum, chef för Check Points analys- och svarsteam för mobila enheter.

"Hypotetiskt sett, ingenting hindrar dem från att rikta in sig på bankappar, ändra funktionen för att skicka dina bankuppgifter" till en tredje part, sa Hazum. "Användaren skulle inte kunna se någon skillnad, men angriparen kunde ansluta till ditt bankkonto på distans."

Gruppen hade också 11 appar i den officiella Google Play-butiken med en "vilande" version av "Agent Smith, " som kunde ha utlösts till handling av en bannerannons som innehåller sökordet "infektera." Apparna, som har tagits bort från Google Play Butik, hade laddats ner över 10 miljoner gånger.

Det är viktigt för användare att förstå att annonser inte alltid bara är annonser, enligt Dustin Childs, kommunikationschef för cybersäkerhetsföretaget Trend Micros Zero Day Initiative, ett så kallat "bug bounty"-program som betalar ut belöningar till hackare och forskare som tipsar dem om säkerhetsbrister i programvaran.

"Vi har sett skadliga annonser som kan installera appar när du surfar till en webbsida från din Android -enhet. De kan installera ransomware, de kan kopiera dina kontakter, " han sa, med hänvisning till tidigare forskning. "Annonsblockerare är inte bara för att blockera annonser."

Childs rekommenderar Android-användare att använda annonsblockerare, uppdatera alltid sina enheter när de uppmanas, och bara ladda ner appar från Google Play Butik.

"Apputvecklaren kan inte göra något för att förhindra detta, " sa Hazum. "Fixeringen måste komma från operativsystemet."

Google har redan fixat åtminstone en av Android-missbruken som används av "Agent Smith, " med smeknamnet Janus, 2017 men korrigeringen har inte kommit in på alla Android-telefoner. Det är en kraftfull påminnelse om att miljontals telefoner runt om i världen används utan de senaste säkerhetsåtgärderna.

"De stora siffrorna som infekterats av den här kampanjen visar hur många enheter som inte uppdateras, " Sa Hazum. "Det tar ganska mycket tid för en uppdatering att nå varje telefon."

En stor del av problemet är hur fragmenterat Android-ekosystemet är, särskilt jämfört med iPhone -ekosystemet, sa Childs.

"Google är väldigt bra på att släppa korrigeringar för de sårbarheter de känner till, men att få det till alla enheter är ett mycket svårt problem."

När Google utfärdar en ny säkerhetskorrigering, eller "lapp, "varje enhetstillverkare som Samsung eller LG – har sett till att alla deras egna appar fortfarande fungerar med det nya systemet, vilket kan ta tid. Tillverkare slutar vanligtvis erbjuda säkerhetsuppdateringar till telefonmodeller efter några år, eller till och med några månader, ett betydande problem med tanke på hur länge människor tenderar att behålla smartphones.

Om tillverkarna skickar ut en uppdatering för enheten, alla operatörer som Verizon och AT&T måste sedan godkänna uppdateringen.

Det sista steget, självklart, får folk att faktiskt uppdatera sina telefoner.

"Folk ser att de har en uppdatering och vet att det kommer att ta deras telefon 30 minuter att ladda ner den, tillämpa det, och starta om enheten, " Sa Hazum. "Många människor ignorerar det."

Oavsett om användare har uppdaterat säkerheten på sina telefoner eller inte, en av de största riskerna för Android-enheter kommer från appbutiker från tredje part, som inte är väl undersökta, sa Daniel Thomas, en forskarassistent och föreläsare vid University of Cambridge.

Thomas var en del av ett forskarteam som fann att 87 % av Android-enheterna 2015 använde föråldrade versioner av operativsystemet. Teamets Android Vulnerabilities-program distribuerar data om historiska och aktuella risker för enheterna.

Men iPhone-användare borde inte bli bekväma. Även om Apples ekosystem är mer kontrollerat än Android, hackare har hittat många sätt att utnyttja enheter med iOS, för att inte tala om att Apple kommer att sluta erbjuda säkerhetsuppdateringar till många iPhone -modeller som fortfarande används i stor utsträckning.

"I alla stora koder, det kommer alltid att finnas sårbarheter som vi inte har hittat ännu, sa Thomas.

©2019 The Mercury News (San Jose, Kalifornien)
Distribueras av Tribune Content Agency, LLC.