Google Play 抢先体验计划被滥用，推送数千个欺骗性 Android 应用

恶意行为者正在滥用 Google Play 的抢先体验 (Early Access) 计划，推送声称提供金钱、奖励、赌场奖金和付费内容的欺骗性应用。

抢先体验应用是尚未在官方 Android 应用市场上发布的应用。该计划的主要目的是让开发者在发布之前，就他们可能正在开发的新应用或功能征求用户反馈。

值得强调的一个方面是，用户无法为抢先体验中可用的应用留下公开评论或星级评分。这为一种新型滥用打开了大门，威胁行为者正在推送数千个带有欺骗性内容的抢先体验应用，包括虚假的赌场游戏和奖励应用，以及可能侵犯第三方商标的误导性实用工具和标题。

在已识别的应用中，有一款模仿 Grand Theft Auto 的名为 "Vice Streets: Open World"（APK 包名：com.gamblechaos.withfriends.game）的游戏，下载量超过 100 万次。该游戏没有评论或评分。它目前已不再在 Google Play 商店上架，尽管尚不清楚它是由 Google 下架还是由上传者本人下架。

"保护开发者免受不公平批评的同一功能，也剥夺了用户对应用不可信任的最早警告，"Bitdefender 在一份声明中表示。

由于用户无法留下批评性评论或差评，传统的信任信号不再适用，使此类应用得以获得关注。据称，这些应用通过 TikTok、Facebook 和其他社交媒体平台，使用包含利用人工智能 (AI) 生成的明星深度伪造视频的虚假广告进行推广。

"可疑的抢先体验应用中反复出现的模式涉及承诺现金奖励、PayPal 付款、加密货币收益、礼品卡、免费旋转或赌场大奖，"这家罗马尼亚网络安全公司在与 The Hacker News 分享的一份报告中表示。

"许多此类应用依赖于相同的互动循环。用户在观看 TikTok 或 Facebook 上的广告后安装该应用。他们甚至可能几乎立即收到丰厚的虚拟奖励，但当他们达到提现门槛时，进展会急剧放缓。承诺的付款永远不会到来。"

最终目标是通过投放一个又一个广告来产生非法收入。这些面向抢先体验的赌场类应用还拥有另一个优势，即它们允许其规避合法赌博应用所需遵守的许多监管要求。

为了绕过许可、地理围栏和年龄验证限制，这些赌场风格的应用伪装成休闲老虎机和益智游戏，并通过社交媒体平台上咄咄逼人的广告进行推广，将毫无戒心的用户引向 Google Play 商店中的抢先体验应用或直接引向各种赌博网站。

进一步分析表明，这些应用使用的诱饵不仅限于赌场游戏、老虎机和虚假奖励应用，还包括 PDF 阅读器、二维码扫描器、手机追踪器、实用工具应用和商标主题游戏。

"Google 的抢先体验计划对于开发者测试新想法仍然是一个有价值的工具，"Bitdefender 表示。"移除评论和评分保护了合法开发者免受不公平的差评轰炸，但它也移除了社区抵御欺骗性软件的最强防线之一。"

The Hacker News 已联系 Google 寻求置评，如果收到回复，我们将更新报道。

这一披露恰逢多个针对 Android 的恶意软件家族出现——

• Hagaseca，一种通过 THost9 加载器传播的远程访问木马，包含一个蠕虫组件，它扫描暴露的 Android 调试桥 (ADB) 服务，并安装该恶意软件以通过 shell 执行、文件传输、隧道和可下载模块实现持久化和远程控制。
• Mantax Otax，一种混合移动恶意软件，将全面的间谍软件功能与勒索软件功能结合在一起，允许操作者窃取敏感数据，在特定的较旧 Android 版本（Android 9 或更早）上对其进行加密，并通过锁定设备屏幕索要赎金。来自受害者的语言指标和文件表明，该活动主要针对印度尼西亚目标。
• StreamRat，它滥用 Android 的无障碍服务和 MediaProjection API 来控制受感染的设备、提供覆盖层并收集敏感数据。该恶意软件通过 Meta 和 TikTok 广告针对讲西班牙语的用户，伪装成一个名为 StreamTV Esp 的免费电视流媒体服务，将用户引导至仿冒网站。

这一进展还恰逢 GoldFactory 使用 Gigabud 银行木马安装一个名为 Vwork 的配套 Android 应用，Vwork 是 Shelter 的一个武器化分支，用于在工作配置文件中克隆目标应用，目的是进行金融欺诈。

"凭借完全远程控制，以及（在相关情况下）已就位的克隆银行应用，操作者直接在受害者手机上执行交易，同时黑屏隐藏正在发生的事情，"Group-IB 表示。"克隆环境被用来规避欺诈保护控制。"