Trapdoor Ad Fraud

Cybersäkerhetsforskare har avslöjat en sofistikerad annonsbedrägeri- och skadlig annonseringsoperation som kallas Trapdoor, som specifikt riktar sig mot Android-användare genom ett storskaligt nätverk av skadliga applikationer och angriparkontrollerad infrastruktur. Kampanjen omfattade 455 skadliga Android-appar och 183 kommando-och-kontrolldomäner (C2), vilket skapade ett omfattande ekosystem utformat för att stödja bedrägeriaktiviteter i flera steg.

Operationen börjar när användare omedvetet installerar angriparstyrda program, ofta förklädda som ofarliga verktyg som PDF-läsare, telefonrengöringsappar eller appar för enhetsoptimering. Dessa till synes legitima program initierar sedan skadlig reklamkampanjer som pressar offren att ladda ner ytterligare skadlig programvara.

Flerstegsinfektionskedja driver dolda annonsbedrägerier

Sekundärstegsapplikationerna fungerar som kärnan i bedrägerioperationen. När de väl är installerade startar de tyst dolda WebViews, ansluter till angriparstyrda HTML5-domäner och begär kontinuerligt annonser i bakgrunden. Dessa appar kan också utföra automatiserade beröringsbedrägerier, vilket genererar falska annonsinteraktioner utan användarens vetskap.

En viktig egenskap hos Trapdoor är dess självbärande affärsmodell. En enda installation av en app som ser legitim ut kan utvecklas till en kontinuerlig intäktsgenererande cykel som finansierar ytterligare skadlig reklamkampanjer. Forskare observerade också användningen av HTML5-baserad utbetalningsinfrastruktur, en taktik som tidigare förknippats med hotkluster som SlopAds, Low5 och BADBOX 2.0.

Som mest genererade Trapdoor-infrastrukturen cirka 659 miljoner budförfrågningar per dag. Applikationer kopplade till verksamheten ackumulerade mer än 24 miljoner nedladdningar, varav majoriteten av trafiken kom från USA, vilket stod för över tre fjärdedelar av kampanjens aktivitet.

Selektiv aktivering hjälper till att undvika upptäckt

Angriparna bakom Trapdoor missbrukade verktyg för installationsattribution, tekniker som vanligtvis används av legitima marknadsförare för att spåra hur användare upptäcker applikationer. Genom att manipulera dessa system säkerställde hotaktörerna att skadlig funktionalitet endast aktiverades för användare som förvärvats genom angriparstyrda reklamkampanjer.

Denna selektiva aktiveringsmekanism komplicerade upptäcktsarbetet avsevärt. Användare som laddade ner apparna direkt från Google Play Store eller installerade dem via sidladdningsmetoder stötte ofta inte på skadligt beteende. Istället aktiverades nyttolasten först efter att offren interagerade med vilseledande annonser eller falska uppdateringsmeddelanden som levererades genom kampanjen.

De första verktygsprogrammen visade bedrägliga popup-meddelanden utformade för att imitera varningar om programuppdateringar och övertyga användare att installera den andra stegets skadliga programvara som ansvarar för annonsbedrägerierna.

För att ytterligare undvika analys och säkerhetsgranskning använde Trapdoor flera antianalys- och obfuskeringstekniker. Operationen imiterade ofta legitima SDK:er och blandade skadliga komponenter i annars fungerande programvara, vilket gjorde infrastrukturen svårare för forskare och automatiserade säkerhetssystem att identifiera.

Google avbryter verksamheten men hotbilden utvecklas

Efter att forskare gjort ett ansvarsfullt avslöjande tog Google bort de identifierade skadliga apparna från Google Play Store, vilket effektivt störde kampanjens infrastruktur.

Trapdoor-operationen visar hur cyberbrottslingar fortsätter att beväpna legitima teknologier, inklusive attributionsplattformar och annonsekosystem, för att skapa skalbara och motståndskraftiga bedrägerienätverk. Genom att kombinera nyttobaserade appar, dolda WebViews, HTML5-utbetalningsdomäner och selektiva aktiveringsstrategier etablerade aktörerna bakom kampanjen ett mycket anpassningsbart ramverk som kan stödja både skadlig reklam och storskaliga annonsbedrägerier.

Forskare betonade att operationer som Trapdoor belyser den snabbt föränderliga karaktären hos mobila hot, där bedragare i allt högre grad förlitar sig på smygande, stegvis leverans av nyttolast och legitim programvara för att kringgå upptäckt och upprätthålla långsiktiga intäktsgenerering.