On-line seznamky jsou semeništěm škodlivých kódů

Hlavní příčinou přitom je, že některé aplikace využívají reklamní nástroje SDKs třetí strany, které jsou součástí jedné z nejrozšířenějších reklamních sítí. Část aplikací, které vystavují uživatelská data zvýšenému nebezpečí, byly staženy miliardami uživatelů.

Zkratka SDK (software development kit) označuje sadu vývojářských nástrojů, které umožňují tvůrcům softwaru zaměřit se na nejdůležitější části aplikací, přičemž zbylé procesy zajistí právě SDK programy. Ty bývají často dostupné zdarma, a proto jsou velmi oblíbené. Vývojáři tak jejich prostřednictvím často využívají určité části kódů třetích stran. Díky tomu šetří čas, protože pro danou funkcionalitu použijí již existující části aplikací.

Reklamní SDK nástroje například shromažďují uživatelská data, na jejichž základě následně uživatelům zobrazují reklamu uzpůsobenou jejich potřebám a aktivitám. Tím pomáhají softwarovým developerům monetizovat jejich produkty. Nástroje posílají uživatelská data na domény oblíbených reklamních sítí, aby mohly vzniknout ještě lépe zacílené reklamy.

Detailnější analýza aplikací ale ukázala, že jsou tato data posílána v nešifrované podobě a prostřednictvím http protokolů. Data jsou tak po cestě na příslušné servery nechráněna. Kvůli chybějícímu šifrování přitom může data kdokoliv zachytit.

Stačí, aby útočník využil nechráněnou Wi-Fi, na kterou se uživatel připojí, nebo získal data prostřednictvím útoku na poskytovatele internetového připojení či domácí router uživatele. Získané údaje může útočník jednoduše upravit tak, aby se následně uživatelovi v aplikaci zobrazovaly škodlivé reklamy. Ty ho nalákají ke stažení další aplikace, která skrývá malware a ohrozí nejen jeho data, ale například i finance.

Odborníci z Kaspersky Lab zkoumali protokoly a síťový provoz aplikací v interním Android Sandboxu. Zjistili díky tomu, které aplikace přenášejí nešifrovaná data prostřednictvím http. Identifikovali řadu známých domén, z nichž je většina součástí oblíbené reklamní sítě. Až několik milionů aplikací používá výše popsané nástroje SDKs. Každá z nich přitom přenáší data v nešifrované podobě, která spadají minimálně do jedné z následujících kategorií:

• Osobní údaje – nejčastěji jméno, věk a pohlaví. Mnohdy jsou zahrnuty i údaje jako uživatelův plat, telefonní číslo a e-mailová adresa.
• Informace o zařízení jako jsou: výrobce, model, rozlišení obrazovky, verze systému a název aplikace.
• Poloha zařízení.