اكتشف باحثو كاسبرسكي حملة تخريبية مستمرة تقوم فيها التطبيقات الضارة التي يستضيفها متجر جوجل بلاي Google Play، بالتجسس سرا وسرقة بيانات مستخدمي أجهزة أندرويد Android.

وبحسب ما ذكره موقع "zdnet" التقني، قال باحثو الأمن السيبراني إن الحملة، التي أطلق عليها اسم PhantomLance، كانت نشطة لمدة أربع سنوات أي منذ عام 2015 على الأقل، ولا تزال جارية حتى الآن.

ووفقا للفريق الأمني،  تم اكتشاف عشرات التطبيقات الخبيثة المتصلة بـ PhantomLance، والتى تحتوي حصان طروادة في متجر بلاي، وتتميز بإصدارات متعددة من برمجيات التجسس المعقدة، التي تجمع بيانات الضحايا، وتتبع أساليب توزيع ذكية، تشمل التوزيع عبر عشرات التطبيقات الموجودة في متجر جوجل بلاي الرسمي.

وفي يوليو 2019، نشر فريق الأمن التابع لـ Doctor Web، بحثًا عن وجود عينة جديدة من برامج التجسس التابعة لحصان طروادة، مستترة في متجر جوجل بلاي تستهدف الأجهزة العاملة بنظام أندرويد. 

وجذب التقرير انتباه شركة الأمن كاسبرسكي بسبب المزايا غير المتوقعة لهذه العينة، التي اختلف مستوى تعقيدها واختلاف سلوكها، عن برامج التجسس الشائعة في متاجر التطبيقات الرسمية، وتمكن باحثو كاسبرسكي من العثور على عينة أخرى مشابهة لهذه البرمجية الخبيثة على جوجل بلاي. 

ووجد الخبراء أن وظائف جميع العينات كانت متشابهة،  بمجرد إطلاقه ، يحاكي التطبيق الضار التحقق من وجود إصدارات جديدة من OpenGL ES، ولكنه في الواقع يقوم بتثبيت باب خلفي ويبدأ في جمع المعلومات من أجهزة أندرويد.

وتضمنت الوظائف الأساسية للبرمجية، على الرغم من عدم اتساعها، تحديد الموقع الجغرافي وسجلات المكالمات والوصول إلى جهات الاتصال وإلى الرسائل النصية القصيرة، كما أمكنها جمع قائمة بالتطبيقات المثبتة على أجهزة أندرويد بالإضافة إلى معلومات الجهاز نفسه، مثل الطراز وإصدار نظام التشغيل. 

ووجدت المزيد من الأبحاث أن حملة PhantomLance وزعت في الأساس على العديد من المنصات ومتاجر التطبيقات، مثل جوجل بلاي وAPKpure، والتى تسعي جاهدة لنشر تطبيق البرامج الخبيثة، وإنشاء ملف تعريف مزيف للمطور عبر إنشاء حساب Github مرتبط بالتطبيق، وذلك لجعل تطبيقاتها تظهر بصورة عادية.