Σύμφωνα με νέα έρευνα της Zimperium, περίπου 250 εφαρμογές είχαν σχεδιαστεί έτσι ώστε να εμφανίζονται ως γνωστές και αξιόπιστες πλατφόρμες ή παιχνίδια, όπως TikTok, Facebook Messenger, Instagram Threads, Minecraft και Grand Theft Auto. Ο στόχος τους ήταν να παραπλανήσουν τους χρήστες και να τους οδηγήσουν στην εγκατάστασή τους, κρύβοντας όμως πίσω από το γνωστό περιβάλλον ένα σύστημα παράνομων χρεώσεων.
Στην πραγματικότητα, οι εφαρμογές εκμεταλλεύονταν υπηρεσίες premium SMS και carrier billing, δηλαδή απευθείας χρεώσεις μέσω του παρόχου κινητής τηλεφωνίας. Με αυτόν τον τρόπο, οι χρήστες μπορούσαν να χρεώνονται χωρίς να το αντιληφθούν άμεσα, καθώς οι συναλλαγές περνούσαν μέσα από τον τηλεπικοινωνιακό λογαριασμό τους.
Ιδιαίτερη ανησυχία προκαλεί το γεγονός ότι το κακόβουλο λογισμικό δεν συμπεριφερόταν με τον ίδιο τρόπο σε όλες τις συσκευές. Πριν ενεργοποιήσει τη διαδικασία χρέωσης, πραγματοποιούσε έλεγχο της SIM κάρτας και του παρόχου, στοχεύοντας συγκεκριμένες χώρες όπως τη Μαλαισία, την Ταϊλάνδη, τη Ρουμανία και την Κροατία. Σε άλλες περιπτώσεις, όπου δεν πληρούνταν τα κριτήρια, οι εφαρμογές έδειχναν αθώο περιεχόμενο, αποφεύγοντας έτσι τον εντοπισμό.
Η τεχνική λειτουργία της απάτης ήταν ιδιαίτερα εξελιγμένη. Οι δημιουργοί του κακόβουλου λογισμικού αξιοποιούσαν αυτοματισμούς μέσω WebView, ενέσεις JavaScript και μηχανισμούς υποκλοπής κωδικών OTP μέσω του Google SMS Retriever API. Αν και πρόκειται για νόμιμα εργαλεία του Android, χρησιμοποιήθηκαν με τρόπο που επέτρεπε την εγγραφή χρηστών σε συνδρομητικές υπηρεσίες χωρίς τη συγκατάθεσή τους.
Σε ορισμένες περιπτώσεις, το λογισμικό μπορούσε ακόμη και να απενεργοποιήσει τη σύνδεση WiFi, αναγκάζοντας τη συσκευή να χρησιμοποιήσει δεδομένα κινητής τηλεφωνίας, ώστε να ολοκληρωθεί πιο εύκολα η χρέωση μέσω του δικτύου του παρόχου.
Η Zimperium εντόπισε τρεις βασικές εκδοχές του κακόβουλου συστήματος: η πρώτη στόχευε αυτόματες εγγραφές σε συνδρομητικές υπηρεσίες συγκεκριμένων παρόχων, η δεύτερη επικεντρωνόταν σε συνδυασμό premium SMS και υποκλοπής δεδομένων μέσω Android APIs, ενώ η τρίτη μετέφερε πληροφορίες στους επιτιθέμενους μέσω Telegram για τις συσκευές, τις εγκαταστάσεις και τις επιτυχημένες χρεώσεις.
Η συγκεκριμένη καμπάνια φαίνεται πως ξεκίνησε στις αρχές του 2025 και παρέμεινε ενεργή για πολλούς μήνες, με επιμέρους τμήματά της να συνεχίζουν να εμφανίζονται μέχρι και το 2026. Παρότι οι εφαρμογές δεν εντοπίστηκαν στο επίσημο κατάστημα Google Play και έχουν ήδη αφαιρεθεί γνωστές εκδόσεις τους, ο κίνδυνος παραμένει για όσους εγκαθιστούν εφαρμογές από ανεπίσημες πηγές.
Το περιστατικό υπογραμμίζει για ακόμη μία φορά τη σημασία της προσοχής κατά την εγκατάσταση εφαρμογών. Η επιλογή αξιόπιστων πηγών, ο έλεγχος των δικαιωμάτων και η παρακολούθηση ύποπτων χρεώσεων αποτελούν βασικά μέτρα προστασίας απέναντι σε ολοένα και πιο εξελιγμένες μορφές ψηφιακής απάτης.
