Користувачі Android скаржаться, що не можуть позбутися реклами, яка з’являється після кожного телефонного дзвінка. Дослідники попереджають, що за цим може стояти нова шахрайська схема. Її джерелом виявляються звичайні на вигляд застосунки: будильник, що допомагає прокидатися вчасно, швидкий месенджер або календар для планування справ.
«Я отримую спливаюче рекламне вікно, коли завершую дзвінок», – йдеться в одній з нещодавніх скарг, цього разу на сторінках спільноти Samsung.
«Я перепробував усі налаштування. Десь в інтернеті читав, що це може бути одна з програм, які я завантажив. Але так було з моменту появи нового телефону, ще до того, як я завантажив жодні програми на нього».
Подібні скарги на тему «Що це раптом за екран після дзвінка?» можна знайти на Reddit та інших платформах соціальних мереж. Користувачі часто підозрюють, що це їхні додатки для дзвінків за замовчуванням надмірно показують рекламу, або що їх було зламано, але це не так. Це ще один неприємний додаток, просто завантажений з Google Play Store, який приховано відображає рекламу поверх інших додатків після кожного дзвінка.
Лабораторія шахрайства DoubleVerify позначає цю практику як нову тенденцію шахрайства з рекламою, яка дозволяє шахрайським розробникам отримувати прибуток від мільйонів показаних оголошень. Лабораторія стверджує, що спостерігала значне та підозріле зростання кількості додатків, які «не мають контенту» та використовують простий механізм доставки.
«Ми називаємо таку рекламу рекламою «AfterCall». Вона з’являється в кінці телефонної розмови, поза звичайним контекстом застосунку», – сказав Нір Данон, дослідник кібербезпеки в DoubleVerify Engineering.
Уявіть собі: ви відвідуєте маму, і вона просить вас допомогти їй з телефоном. … Ви дивитеся, перевіряєте її нещодавно використані програми, шукаєте підозрілі та переглядаєте історію її переглядів і завантажень. Нічого підозрілого, але реклама продовжує з’являтися».
Програми-порушники мають досить простий шахрайський процес. Це часто спонукає користувачів встановлювати додаткові сумнівні програми для очищення або антивірусні програми, які нібито вирішують проблему, але зрештою погіршують ситуацію.
Зазвичай програми не можуть захопити весь екран телефону, щоб відображати те, що вони хочуть. Спочатку шахраям потрібно обманом змусити користувачів надати цей дозвіл. Але це не так складно, як ви думаєте.
SYSTEM_ALERT_WINDOW – це обмежений дозвіл Android, який дозволяє програмі відображатися поверх інших. На відміну від інших дозволів, його не можна надати у звичайному спливаючому діалоговому вікні після встановлення програми. Розробникам програм доводиться перенаправляти користувачів до налаштувань, щоб вони могли приймати обдумані рішення вручну.
«Зловмисним розробникам все ще вдається обійти цей запобіжний механізм, маніпулюючи процесом користування», — сказав Данон.
В одному з прикладів додаток-будильник пояснює, що він має спрацьовувати, навіть коли телефон заблоковано – без надання дозволу будильники можуть відображатися неправильно. Інший додаток, календар, навіть не залишає користувачам вибору – він просто закривається, якщо вони не нададуть дозвіл.
«Більшість нетехнічних користувачів просто торкаються сторінок, не усвідомлюючи наслідків».
У звіті не уточнюється, про які саме застосунки йдеться, однак відомо, що деякі з них досі доступні в Google Play і вже мають понад 100 тисяч встановлень. Вони також отримали дозвіл USE_FULL_SCREEN_INTENT, який дозволяє відображати сповіщення у повноекранному режимі навіть на заблокованих пристроях.
Щойно застосунок обманом змусить користувача надати дозвіл, він підключається до системи та прослуховує системні події. Програми Android спілкуються за допомогою функції під назвою Intents – невеликих повідомлень, що описують події. Програми використовують приймачі широкомовлення (Broadcast Receivers), щоб прослуховувати ці Intents та діяти відповідно.
Програми AfterCall відстежують події ACTION_PHONE_STATE_CHANGED: спочатку «дзвінок», а потім «відпочинок» – це сигналізує про завершення дзвінка, і програма запускає рекламу.
«Усі вони мають однаковий дизайн: деталі дзвінків, фасад про те, як це пов’язано з додатком, «фотографія профілю» та завжди реклама, розміщена під ними», – зазначає дослідник.
Але це ще не кінець. Щоб приховати свої сліди, підозрілий додаток видаляє себе зі списку нещодавніх програм, що ускладнює його ідентифікацію та зменшує кількість видалень. Хоча всі платформи намагаються боротися з такими програмами, вони проходять крізь щілини передвстановлення сканування.
Виявити такі застосунки можна за дозволом «Показувати поверх інших програм». Саме його використовують програми, які демонструють рекламу після завершення телефонних дзвінків.
Наприклад, на смартфонах Samsung потрібно відкрити «Налаштування» → «Програми» → «Додаткові параметри» → «Спеціальний доступ» → «Показувати поверх інших програм». Там відображається список усіх застосунків, які мають цей дозвіл.
Якщо серед них є будильник, календар, нотатник або інша утиліта, якій така можливість не потрібна для роботи, це привід насторожитися. Шахрайські застосунки часто маскуються саме під повсякденні сервіси, а їхні значки виглядають цілком звичайними.
Фахівці рекомендують вимкнути цей дозвіл для всіх підозрілих програм. Якщо після наступного дзвінка застосунок знову попросить надати доступ, його варто одразу видалити.
Google надає загальний посібник із видалення небажаної реклами, спливаючих вікон та шкідливого програмного забезпечення. Він пропонує перейти в безпечний режим, щоб видалити проблемні програми.
