Poslední dobou se na fórech a sociálních sítích množí stížnosti na podivné chování telefonů s Androidem. Po skončení hovoru se najednou objeví celoobrazovková reklama, a to i na zařízeních, kde nebyla instalována žádná zjevně podezřelá aplikace. Bezpečnostní výzkumníci z DoubleVerify Fraud Lab tento jev pojmenovali AfterCall a popsali ho jako nový, rychle rostoucí typ reklamního podvodu.
Jak vzniká reklama po telefonátu na Androidu
Za reklamami po hovoru nestojí operátor ani výchozí telefonní aplikace, ale nenápadné utility aplikace stažené z Google Play. Nejčastěji jde o budíky, kalendáře nebo aplikace na zprávy, které na první pohled slouží přesně k tomu, co slibují.
Aby aplikace mohla zobrazovat reklamu přes celou obrazovku, potřebuje oprávnění SYSTEM_ALERT_WINDOW, tedy takzvané zobrazení přes jiné aplikace. Android toto oprávnění schválně nepovoluje jednoduchým odklepnutím při instalaci, uděluje se ručně v nastavení. Aplikace proto uživatele k tomuto kroku různě dotlačí, například tvrzením, že bez povolení nebude fungovat spolehlivě budík, nebo tím, že se kalendářová aplikace bez udělení oprávnění rovnou zavře.
Jakmile aplikace oprávnění získá, začne naslouchat systémovým událostem ACTION_PHONE_STATE_CHANGED. Ve chvíli, kdy telefon přejde ze stavu vyzvánění nebo hovoru do stavu nečinnosti, aplikace vyhodnotí, že hovor skončil, a zobrazí reklamu přes celou obrazovku. Aby se ztížilo dohledání viníka, aplikace se navíc odstraňuje ze seznamu naposledy použitých aplikací.
Podle DoubleVerify tímto způsobem měsíčně vygenerují desítky podvodných aplikací stovky milionů zobrazení reklam.
Jak poznat aplikaci, která zobrazuje reklamu po telefonátu
Nejspolehlivější indikátor je právě zmíněné oprávnění na zobrazení přes jiné aplikace. Na zařízeních Samsung se seznam najde v Nastavení, sekci Aplikace, dále Další možnosti a Zvláštní přístup, kde je položka Zobrazení přes jiné aplikace. Na ostatních výrobcích se cesta liší v detailech, ale princip zůstává stejný, hledá se sekce speciálních oprávnění v nastavení aplikací.
V seznamu aplikací s tímto oprávněním stojí za kontrolu každá položka, která nebyla součástí telefonu od výroby. Legitimní stažené aplikace toto oprávnění zpravidla nepotřebují.
Jak se zbavit reklamy po telefonátu na Androidu
Po nalezení podezřelé aplikace stačí oprávnění na zobrazení přes jiné aplikace vypnout. Aplikace pravděpodobně při dalším spuštění znovu požádá o jeho udělení, což je dobrý signál k jejímu odinstalování.
V případě, že se odinstalování nedaří kvůli agresivnímu chování aplikace, pomáhá spuštění telefonu v nouzovém režimu, ve kterém se dají odstranit i aplikace, které se běžně brání smazání.
Proč si podvod všímat i mimo Android komunitu
AfterCall ukazuje typický vzorec dnešních podvodných aplikací na Google Play. Nejde o klasický malware v podobě trojského koně nebo spywaru, ale o legitimně vyhlížející utility, které zneužívají standardní systémová oprávnění způsobem, který automatizované kontroly obchodu nezachytí. Podobný přístup, tedy zneužití běhového oprávnění místo instalace škodlivého kódu, se dá čekat i u dalších kategorií aplikací, nejen u budíků a kalendářů.
Poslední dobou se na fórech a sociálních sítích množí stížnosti na podivné chování telefonů s Androidem. Po skončení hovoru se najednou objeví celoobrazovková reklama, a to i na zařízeních, kde nebyla instalována žádná zjevně podezřelá aplikace. Bezpečnostní výzkumníci z DoubleVerify Fraud Lab tento jev pojmenovali AfterCall a popsali ho jako nový, rychle rostoucí typ reklamního podvodu.
Jak funguje podvod AfterCall
Za reklamami po hovoru nestojí operátor ani výchozí telefonní aplikace, ale nenápadné utility aplikace stažené z Google Play. Nejčastěji jde o budíky, kalendáře nebo aplikace na zprávy, které na první pohled slouží přesně k tomu, co slibují.
Aby aplikace mohla zobrazovat reklamu přes celou obrazovku, potřebuje oprávnění SYSTEM_ALERT_WINDOW, tedy takzvané zobrazení přes jiné aplikace. Android toto oprávnění schválně nepovoluje jednoduchým odklepnutím při instalaci, uděluje se ručně v nastavení. Aplikace proto uživatele k tomuto kroku různě dotlačí, například tvrzením, že bez povolení nebude fungovat spolehlivě budík, nebo tím, že se kalendářová aplikace bez udělení oprávnění rovnou zavře.
Jakmile aplikace oprávnění získá, začne naslouchat systémovým událostem ACTION_PHONE_STATE_CHANGED. Ve chvíli, kdy telefon přejde ze stavu vyzvánění nebo hovoru do stavu nečinnosti, aplikace vyhodnotí, že hovor skončil, a zobrazí reklamu přes celou obrazovku. Aby se ztížilo dohledání viníka, aplikace se navíc odstraňuje ze seznamu naposledy použitých aplikací.
Podle DoubleVerify tímto způsobem měsíčně vygenerují desítky podvodných aplikací stovky milionů zobrazení reklam.
Jak poznat aplikaci s reklamami AfterCall
Nejspolehlivější indikátor je právě zmíněné oprávnění na zobrazení přes jiné aplikace. Na zařízeních Samsung se seznam najde v Nastavení, sekci Aplikace, dále Další možnosti a Zvláštní přístup, kde je položka Zobrazení přes jiné aplikace. Na ostatních výrobcích se cesta liší v detailech, ale princip zůstává stejný, hledá se sekce speciálních oprávnění v nastavení aplikací.
V seznamu aplikací s tímto oprávněním stojí za kontrolu každá položka, která nebyla součástí telefonu od výroby. Legitimní stažené aplikace toto oprávnění zpravidla nepotřebují.
Jak se zbavit reklam AfterCall
Po nalezení podezřelé aplikace stačí oprávnění na zobrazení přes jiné aplikace vypnout. Aplikace pravděpodobně při dalším spuštění znovu požádá o jeho udělení, což je dobrý signál k jejímu odinstalování.
V případě, že se odinstalování nedaří kvůli agresivnímu chování aplikace, pomáhá spuštění telefonu v nouzovém režimu, ve kterém se dají odstranit i aplikace, které se běžně brání smazání.
Proč si podvod všímat i mimo Android komunitu
AfterCall ukazuje typický vzorec dnešních podvodných aplikací na Google Play. Nejde o klasický malware v podobě trojského koně nebo spywaru, ale o legitimně vyhlížející utility, které zneužívají standardní systémová oprávnění způsobem, který automatizované kontroly obchodu nezachytí. Podobný přístup, tedy zneužití běhového oprávnění místo instalace škodlivého kódu, se dá čekat i u dalších kategorií aplikací, nejen u budíků a kalendářů.
