Jedną z głównych zaleceń dotyczących ochrony naszych urządzeń mobilnych jest pobieranie całego oprogramowania z oficjalnych sklepów, ale zdarzają się sytuacje, w których złośliwy element zdoła wprowadzić bardzo dobrze zamaskowane aplikacje. Dokładnie to stało się z SonicSpy, wariantem złośliwego oprogramowania, które rozpoczęło swoją działalność w lutym tego roku, dostarczając użytkownikom „komunikatory internetowe", które potrafią nagrywać dźwięk, robić zdjęcia, wykonywać połączenia i wyciągać kontakty bez żadnego ostrzeżenia.
Zakłada się, że jeśli urządzenie mobilne nie ma włączonego dostępu root i pobiera swoje aplikacje wyłącznie z oficjalnych sklepów, prawdopodobieństwo zakończenia z infekcją jest niskie. Jednak twórcy złośliwego oprogramowania nie pozostają z założonymi rękami i zawsze szukają sposobu, aby przemycić swoje dzieła przez szczeliny każdej platformy. Android odczuł skutki tego „wyścigu zbrojeń" niejednokrotnie i pomimo dobrej pracy Google, analizowanie zachowań tysięcy aplikacji wchodzących codziennie do Play Store to tytaniczne zadanie. W tym miejscu wkraczają niezależni badacze i natrafiamy na rzeczy takie jak SonicSpy, odkryty przez ludzi z Lookout.
SonicSpy rozpoczął swoje wdrożenie w lutym tego roku, a dostępne dane sugerują, że został opracowany przez agenta stacjonującego w Iraku, choć nie jest jasne, czy jest rządowy czy prywatny. Ponad tysiąc aplikacji wykazało jakiś związek z SonicSpy, ale najważniejsze z nich przybierają formę komunikatorów internetowych. „Soniac" przedstawia się jako klon Telegrama i na pierwszy rzut oka spełnia swoje podstawowe funkcje bez zarzutu. Lookout wyjaśnia, że aplikacja ma w rzeczywistości zdolność do nagrywania dźwięku, wykonywania połączeń, robienia zdjęć, wysyłania wiadomości tekstowych na numery wskazane przez atakującego oraz wyciągania szczegółów takich jak lista kontaktów, historia i konfiguracja sieci WiFi.
W istocie aplikacje z SonicSpy zacierają swoje ślady, usuwając ikonę z launchera i aktywując zdalne połączenie z serwerem na porcie 2222. SonicSpy dzieli kilka elementów technicznych z SpyNote, innym złośliwym oprogramowaniem, którego pierwsze raporty pochodzą z lipca 2016. Oprócz Soniaca, „Hulk Messenger" i „Troy Chat" trafiły do Play Store, ale gdy wykryto ich związek z SonicSpy, zostały szybko usunięte. Podsumowując: Ograniczenie pobierania do sklepu Google już nie wystarcza. Obrazy, tekst, opisy i komentarze należy dokładnie przeanalizować przed pobraniem jakiejkolwiek aplikacji.
