Миллионы пользователей Android стали жертвами вредоносных программ, замаскированных под безобидные утилиты. Поддельные QR-сканеры, фитнес-приложения и менеджеры расходов распространяли вредоносное ПО через Google Play Store. Кампания под названием "Vapor" использовала изощрённые методы обхода защиты Android, что позволило вирусам проникнуть на устройства пользователей.

Источник изображения: Gemini 

Как вредоносные приложения проникли в Google Play?

Несмотря на жёсткие меры безопасности, мошенникам удалось обойти защитные механизмы Google. Первыми тревогу забили исследователи IAS Threat Lab, обнаружив 180 заражённых приложений. Позднее компания Bitdefender расширила расследование, выявив в общей сложности 331 вредоносное приложение, некоторые из которых оставались в магазине до марта 2025 года.

Киберпреступники использовали уязвимость в механизме "Content Provider", встроенном в Android 13. Этот механизм позволяет приложениям обмениваться данными с системой, и злоумышленники воспользовались им, чтобы активировать вирусный код без необходимости открытия приложения пользователем.

Как работают вирусные приложения?

После установки и первого запуска значки программ исчезали с главного экрана, затрудняя их удаление. Вредоносное ПО отключало свой "Launcher", который отвечает за отображение иконки в меню приложений, а затем подменяло его специальным кодом. Некоторые программы даже маскировались под "Google Voice" в настройках, чтобы предотвратить попытки удаления.

Список заражённых приложений (неполный перечень)

• AquaTracker – более 1 млн загрузок
• ClickSave Downloader – более 1 млн загрузок
• Scan Hawk – более 1 млн загрузок
• Water Time Tracker – более 1 млн загрузок
• Health Tracker Pro – более 500 тыс. загрузок
• QR Master Scanner – более 500 тыс. загрузок
• Wallpaper HD Collection – более 500 тыс. загрузок
• Expense Manager Plus – более 100 тыс. загрузок
• Battery Optimizer – более 100 тыс. загрузок

Чем опасны эти вирусы?

Заражённые программы показывали рекламу на весь экран, не требуя соответствующего разрешения. Более того, они создавали виртуальный экран, с помощью которого отображали поддельные формы авторизации, перехватывая пароли, данные банковских карт и другую конфиденциальную информацию.

Почему Google Play не распознал угрозу?

Вредоносное ПО использовало несколько способов маскировки:

• Постоянно работающие фоновые процессы, не позволяющие системе обнаружить и отключить вирус.
• Шифрование трафика для сокрытия связи с серверами злоумышленников.
• Обнаружение виртуальных сред, что позволяло вирусу изменять своё поведение при проверке безопасности.

Особенно опасно, что некоторые приложения изначально были безвредны, а затем получили вредоносные обновления. Кампания "Vapor" остаётся активной, а новые вирусные приложения появляются в Google Play до сих пор. Например, всего за неделю до завершения расследования были обнаружены Dropo и Handset Locator.

Как защитить своё устройство?

Эксперты рекомендуют пользователям Android придерживаться следующих правил безопасности:
✅ Проверять список установленных приложений на наличие неизвестных программ.
✅ Обращать внимание на исчезновение значков приложений после установки.
✅ Не вводить личные данные в формы, появляющиеся на весь экран.
✅ Скачивать приложения только от проверенных разработчиков с хорошей репутацией.

Поскольку даже современные защитные механизмы не гарантируют полную безопасность, основная ответственность за киберзащиту остаётся на пользователях.