Заголовок: Android.MagicAd.1: рекламный троян, обходящий все запреты Android

Специалисты «Доктор Веб» завершили расследование деятельности трояна Android.MagicAd.1. Этот злоумышленник показывает рекламу вопреки всем ограничениям современных версий Android. Он распространялся через официальные каталоги GetApps (Xiaomi) и Samsung Galaxy Store, скрываясь в более чем 50 играх и программах. Вредоносные приложения появлялись в магазине на короткий срок (до месяца), после чего исчезали, но оставались на устройствах пользователей.

Код трояна искусно замаскирован: вредоносные модули спрятаны в зашифрованных библиотеках. Перед активацией Android.MagicAd.1 проверяет окружение на наличие эмуляторов и черных списков, затем скрывает свой значок и запускает фоновые сервисы постоянного присутствия.

Главная особенность трояна — показ рекламы без запроса разрешения SYSTEM_ALERT_WINDOW. Он использует несколько методик в зависимости от производителя устройства:

• На Xiaomi — эксплуатирует системные приложения (Mi Browser, Miui SystemUI) через отложенные намерения (Intents).
• На Vivo — использует системные компоненты (iManager, Телефонная книга, Vivo Browser) через Android Binder.
• Универсальный метод — работает на большинстве устройств через имитацию нажатий в системном медиаплеере.

Все рекламные баннеры отображаются в виде полупрозрачных окон поверх других приложений.

Пользователям не о чем беспокоиться: Dr.Web Security Space для мобильных устройств надежно детектирует и удаляет все версии Android.MagicAd.1.