Pada akhir Agustus 2024 lalu, para ahli Kaspersky mengidentifikasi versi baru Trojan Necro yang disebut telah menyusup ke beberapa aplikasi populer di Google Play dan memodifikasi aplikasi pada platform tidak resmi, termasuk Spotify, WhatsApp, dan Minecraft.
Necro adalah pengunduh Android yang mengunduh dan menjalankan komponen berbahaya lainnya pada perangkat yang terinfeksi berdasarkan perintah yang dikeluarkan oleh pembuat Trojan. Solusi Kaspersky mencatat serangan Necro yang menargetkan pengguna di Rusia, Brasil, Vietnam, Ekuador, dan Meksiko sebagai bagian dari kampanye berbahaya ini.
Kemampuan Trojan Necro
Varian Necro yang ditemukan oleh para ahli Kaspersky dapat mengunduh modul ke ponsel cerdas yang terinfeksi yang menampilkan iklan di jendela tak terlihat dan mengkliknya, mengunduh file yang dapat dieksekusi, menginstal aplikasi pihak ketiga, dan membuka tautan acak di jendela WebView tak terlihat untuk mengeksekusi kode JavaScript. Berdasarkan karakteristik teknisnya, Trojan tersebut kemungkinan juga mampu membuat pengguna berlangganan layanan berbayar. Selain itu, modul yang diunduh memungkinkan penyerang untuk mengalihkan lalu lintas internet melalui perangkat korban. Hal ini memungkinkan penjahat siber untuk mengunjungi sumber daya yang dilarang atau diinginkan menggunakan perangkat korban, yang berpotensi memanfaatkannya sebagai bagian dari botnet proksi.
Aplikasi yang Terinfeksi pada Platform Tidak Resmi
Penemuan pertama Necro oleh para ahli perusahaan adalah pada versi modifikasi Spotify Plus. Pembuat aplikasi tersebut mengklaim bahwa aplikasi tersebut aman untuk perangkat dan menawarkan fitur tambahan yang tidak ditemukan pada aplikasi streaming musik resmi.
Selanjutnya, para ahli juga menemukan versi modifikasi WhatsApp yang berisi pengunduh Necro, diikuti oleh versi terinfeksi dari permainan populer, termasuk Minecraft, Stumble Guys, dan Car Parking Multiplayer. Necro disematkan ke dalam aplikasi ini melalui modul iklan yang tidak terverifikasi.
Aplikasi yang Terinfeksi di Google Play
Kampanye Necro meluas ke luar platform pihak ketiga dan juga ditemukan di Google Play. Pengunduh berbahaya tersebut ditemukan di aplikasi Wuta Camera dan Max Browser. Menurut statistik Google Play, unduhan gabungan dari aplikasi ini melebihi 11 juta. Pada platform ini, Necro juga didistribusikan melalui modul iklan yang tidak terverifikasi. Setelah laporan Kaspersky ke Google, kode berbahaya tersebut dihapus dari Wuta Camera, dan Max Browser dihapus dari toko. Namun, pengguna masih berisiko menemukan Necro pada platform tidak resmi.
“Pengguna sering mengunduh aplikasi yang dimodifikasi dan tidak resmi untuk melewati batasan dalam aplikasi resmi atau untuk mengakses fitur gratis tambahan. Penjahat siber memanfaatkan perilaku ini, menyebarkan malware dengan aplikasi ini karena tidak ada moderasi pada platform pihak ketiga,” komentar Dmitry Kalinin, pakar keamanan siber di Kaspersky.
“Perlu dicatat juga bahwa versi Necro yang tertanam dalam aplikasi ini menggunakan teknik steganografi, menyembunyikan muatannya dalam gambar agar tidak terdeteksi – metode yang sangat langka untuk malware seluler,” sambungnya.
Solusi keamanan Kaspersky melindungi terhadap Necro dan mendeteksi pengunduh sebagai Trojan-Downloader.AndroidOS.Necro.f dan Trojan-Downloader.AndroidOS.Necro.h, dengan komponen berbahaya diidentifikasi sebagai Trojan.AndroidOS.Necro.
Adapun untuk melindungi terhadap ancaman dunia maya Android ini dan lainnya, pakar Kaspersky juga menyarankan:
• Unduh aplikasi hanya dari sumber resmi;
• Perbarui sistem operasi dan aplikasi yang terinstal secara berkala;
• Gunakan solusi keamanan yang andal dari produsen tepercaya yang produknya diverifikasi oleh lab pengujian independen.
