Malware Android baru menggunakan AI untuk mengeklik iklan browser tersembunyi

Keluarga baru trojan penipuan klik Android memanfaatkan model pembelajaran mesin TensorFlow untuk secara otomatis mendeteksi dan berinteraksi dengan elemen iklan tertentu.

Mekanisme ini mengandalkan analisis visual berdasarkan pembelajaran mesin, bukan rutinitas klik JavaScript yang telah ditentukan sebelumnya, dan tidak melibatkan interaksi tingkat DOM berbasis skrip seperti trojan penipuan klik klasik.

Pelaku ancaman menggunakan TensorFlow.js, pustaka sumber terbuka yang dikembangkan oleh Google untuk melatih dan menerapkan model pembelajaran mesin dalam JavaScript. Ini memungkinkan menjalankan model AI di browser atau di server menggunakan Node.js.

Para peneliti di perusahaan keamanan seluler Dr.Web menemukan bahwa keluarga baru trojan Android didistribusikan melalui GetApps, toko aplikasi resmi untuk perangkat Xiaomi.

Mereka menemukan bahwa malware tersebut dapat beroperasi dalam mode yang disebut ‘phantom’, yang menggunakan browser tersembunyi berbasis WebView untuk memuat halaman target penipuan klik dan file JavaScript. Tujuan skrip ini adalah untuk mengotomatiskan tindakan pada iklan yang ditampilkan di situs yang dimuat.

Setelah memuat model terlatih dari server jarak jauh, browser tersembunyi ditempatkan di layar virtual, dan tangkapan layar diambil untuk TensorFlow.js guna menganalisis dan mengidentifikasi elemen yang relevan.

Dengan mengetuk elemen UI yang benar, malware mereproduksi aktivitas normal dari pengguna. Metode ini lebih efektif dan tahan terhadap variabilitas iklan modern, karena sebagian besar iklan ini bersifat dinamis, sering berubah struktur, dan sering menggunakan iframe atau video.

Mode kedua, yang disebut ‘sinyal’, menggunakan WebRTC untuk mengalirkan umpan video langsung dari layar browser virtual kepada penyerang, memungkinkan mereka melakukan tindakan real-time seperti mengetuk, menggulir, dan memasukkan teks.

Pelaku ancaman mendistribusikan malware dalam game di katalog perangkat lunak GetApps Xiaomi. Awalnya, aplikasi dikirimkan tanpa fungsi berbahaya dan menerima komponen berbahaya di pembaruan berikutnya.

Beberapa game terinfeksi yang diidentifikasi oleh Doctor Web adalah:

• Pencurian Mafia Mobil — 61.000 unduhan
• Rumah Hewan Peliharaan yang Lucu — 34.000 unduhan
• Dunia Sihir Penciptaan — 32.000 unduhan
• Pesta Unicorn yang Menakjubkan — 13.000 unduhan
• Buka Gangster Dunia — 11.000 unduhan
• Akademi Impian Sakura — 4.000 unduhan

Selain aplikasi yang dihosting Xiaomi, trojan didistribusikan melalui situs APK pihak ketiga (misalnya, Apkmody dan Moddroid, versi yang diubah, yang disebut mod, dari aplikasi Spotify, YouTube, Deezer, dan Netflix asli.

Itu kata peneliti bahwa sebagian besar aplikasi di halaman “Pilihan Editor” Moddroid terinfeksi.

File APK yang terinfeksi juga didistribusikan melalui saluran Telegram, beberapa contoh aplikasi termasuk Spotify Pro, Spotify Plus – Resmi, Moddroid.com, dan Apkmody Chat.

Dr.Web juga menemukan server Discord dengan 24.000 pelanggan yang mendorong aplikasi yang terinfeksi bernama Spotify X.

Para peneliti mencatat bahwa setidaknya beberapa dari aplikasi ini “benar-benar berfungsi”, sehingga mengurangi kecurigaan pengguna. Dikombinasikan dengan fakta bahwa penipuan klik dilakukan secara diam-diam di WebView tersembunyi yang menampilkan konten di layar virtual, ini berarti bahwa korban tidak akan melihat indikasi aktivitas jahat.

Meskipun clickjacking dan penipuan iklan bukan merupakan ancaman langsung terhadap privasi dan data pengguna, namun keduanya merupakan aktivitas kejahatan dunia maya yang menguntungkan. Dampak langsungnya terhadap pengguna adalah terkurasnya baterai dan degradasi dini, serta meningkatnya biaya data seluler.

Pengguna Android disarankan untuk menghindari pemasangan aplikasi di luar Google Play, terutama versi alternatif untuk aplikasi populer yang menjanjikan fitur tambahan atau akses gratis ke langganan premium.