近日，有研究人员发现在恶意 SDK 供应链攻击中，有黑客通过 Google Play 在 1100 万台设备上安装了新版本的 Necro 恶意安卓载入器。
这种新版 Necro 木马是通过合法应用程序、安卓游戏 mod 和 Spotify、WhatsApp 和 Minecraft 等流行软件的修改版所使用的恶意广告软件开发工具包 (SDK) 安装的。
Necro 会在受感染设备上安装多个有效载荷，并激活各种恶意插件，包括：
- 通过隐形 WebView 窗口加载链接的广告软件（Island 插件、Cube SDK）
- 下载和执行任意 JavaScript 和 DEX 文件的模块（Happy SDK、Jar SDK）
- 专为订阅欺诈提供便利的工具（Web 插件、Happy SDK、Tap 插件）
- 将受感染设备用作代理来路由恶意流量的机制（NProxy 插件）
Google Play 上的 Necro 木马
卡巴斯基在 Google Play 上的两个应用程序中发现了 Necro 载入器，这两个应用程序都拥有大量用户。
第一个是 “Benqu ”的 Wuta Camera，这是一款照片编辑和美化工具，在 Google Play 上的下载量超过 1000万次。
Google Play 上的 Wuta 相机应用程序，来源：BleepingComputer
威胁分析师报告称，Necro是在6.3.2.148版本发布时出现在该应用上的，直到6.3.6.148版本，卡巴斯基才通知谷歌。
虽然该木马在6.3.7.138版本中被移除，但任何可能通过旧版本安装的有效载荷仍可能潜伏在安卓设备上。
第二个携带 Necro 的合法应用程序是 “WA message recover-wamr ”的 Max Browser，它在 Google Play 上有 100 万下载量，直到卡巴斯基报告后才被删除。
卡巴斯基称，Max Browser的最新版本1.2.0仍携带Necro，目前暂没有安全版本可供升级，建议该浏览器的用户立即卸载，换用其他浏览器。
卡巴斯基称，这两款应用程序是被一个名为 “Coral SDK ”的广告SDK感染的，该SDK主要采用混淆技术来隐藏其恶意活动，同时还利用图像隐写术来下载第二级有效载荷shellPlugin，并伪装成无害的PNG图像。
感染链路图 来源：卡巴斯基
谷歌表示他们知道这些被举报的应用程序，并正在对其进行调查。
Necro 木马也通过其他非官方渠道传播
在 Play Store 之外，Necro 木马主要通过非官方网站发布的流行应用程序的修改版本（mods）进行传播。
卡巴斯基发现的著名例子包括 WhatsApp mods “GBWhatsApp ”和 “FMWhatsApp”，它们承诺提供更好的隐私控制和扩展文件共享限制。另一个例子是 Spotify mod “Spotify Plus”，它承诺免费使用无广告的高级服务。
传播恶意 Spotify Mod 的网站 来源：卡巴斯基
报告中还提到了感染 Necro 载入器的 Minecraft mod 和其他流行游戏的 mod，如 Stumble Guys、Car Parking Multiplayer 和 Melon Sandbox。
在所有情况下，恶意行为都是在后台显示广告为攻击者带来欺诈性收入、未经用户同意安装应用程序和 APK，以及使用隐形 WebViews 与付费服务进行交互。
由于非官方的安卓软件网站不会如实报告下载数量，因此最新一轮 Necro 木马感染的总数量尚不得而知，但至少有 1100 万次来自 Google Play。
