Приложения для Android надоедают пользователям рекламой после звонков

Мошеннические приложения для Android распространяются через Google Play в рамках кампании, которую назвали Aftercall. Они маскируются под будильники, календари, заметки, средства очистки устройства и «сверхбыстрые» мессенджеры. Термин Aftercall (После звонка) появился из-за того, что реклама в этих программах действительно показывается сразу после его завершения. Такие программы запрашивают разрешение на отображение поверх других окон.

Получив необходимое разрешение, вредоносное приложение начинает выводить полноэкранную рекламу. Она появляется вне интерфейса приложения-источника, поэтому пользователю сложно определить, какая именно программа её показывает. Для усложнения обнаружения такие приложения скрывают себя из списка недавно открытых программ.

Чтобы реклама выглядела правдоподобнее, злоумышленники оформляют её как фальшивый экран с информацией о звонке. На нём отображаются данные вызывающего абонента, поддельный аватар и текст, создающий впечатление, что объявление связано с функциями приложения. Некоторые приложения также запрашивают разрешение на полноэкранные уведомления, что позволяет показывать рекламу даже при заблокированном устройстве.

Механизм работы Aftercall-приложений основан на отслеживании состояния телефонного вызова. Когда состояние меняется с «звонит» на «ожидание», приложение запускает своё окно (activity) и выводит рекламу поверх всех остальных приложений с использованием разрешения на наложение окон.

Исследователи отмечают, что эти программы используют телефонные звонки пользователя исключительно для генерации рекламных показов. Ежемесячно появляются десятки новых приложений из этой категории, которые в совокупности генерируют сотни миллионов показов рекламы.

Для получения необходимых разрешений злоумышленники придумывают правдоподобные объяснения. Один из исследователей рассказал о запросе приложения-будильника срабатывать даже при заблокированном экране, иначе сигнал якобы отображается некорректно. Календарь не оставляет пользователю выбора и просто закрывается, пока разрешение не будет выдано.

Если сразу после завершения звонка появляется реклама, особенно вместе с фальшивой «информацией о вызове», пользователям рекомендуют проверить, какие приложения имеют разрешение на отображение поверх других окон. Путь к этой настройке зависит от производителя устройства и версии Android, но обычно выглядит так: Настройки → Приложения → Дополнительные параметры (три вертикальные точки) → Специальный доступ → Поверх других приложений.