Użytkownicy smartfonów w różnych krajach zauważyli, że złośliwa aplikacja “Collect Cards” znalazła się na szczycie list najczęściej pobieranych darmowych aplikacji.
Apple szybko usunęło ją ze sklepu, ale problem nie zniknął. W App Store nadal można znaleźć wiele podobnych aplikacji, co budzi pytania o skuteczność obecnych mechanizmów weryfikacyjnych.
Twórcy szkodliwych aplikacji znaleźli sposób na obejście systemu weryfikacji Apple. Wykorzystują oni technikę geofencingu, która pozwala ukryć prawdziwą funkcjonalność aplikacji przed zespołem sprawdzającym App Store. Aplikacja zmienia swoje zachowanie w zależności od lokalizacji geograficznej urządzenia, na którym jest uruchamiana.
Wszystkie te aplikacje, mimo że publikowane przez różne konta deweloperskie, mają wspólny kod źródłowy. Ich autorzy korzystają z React Native, platformy do tworzenia aplikacji wieloplatformowych opartej na JavaScript. Dodatkowo używają pakietu CodePush SDK firmy Microsoft, który umożliwia aktualizację części aplikacji bez konieczności przesyłania nowej wersji do App Store do ponownej weryfikacji.
Warto zaznaczyć, że samo używanie React Native i CodePush nie łamie zasad App Store. Wiele znanych aplikacji korzysta z tych technologii. Jednak w tym przypadku złośliwi programiści wykorzystują je w sposób, który pozwala im ominąć standardowe procedury kontrolne.
Niektóre z tych aplikacji prowadzą do repozytoriów na GitHub, które prawdopodobnie zawierają pliki związane z nielegalnymi aplikacjami do strumieniowego przesyłania treści. Aplikacje te używają również specjalnego interfejsu API do sprawdzania lokalizacji urządzenia na podstawie adresu IP. Dzięki temu mogą uzyskać dokładne informacje o położeniu użytkownika, takie jak kraj, region, miasto, a nawet przybliżone współrzędne geograficzne.
Ciekawym aspektem działania tych aplikacji jest to, że po pierwszym uruchomieniu czekają kilka sekund przed wywołaniem API geolokalizacji. Ten zabieg ma na celu uniknięcie wykrycia przez automatyczne systemy skanujące App Store, które mogłyby uznać natychmiastowe odpytywanie o lokalizację za podejrzane.
Sytuacja ta przywodzi na myśl podobne zdarzenie z 2017 roku, kiedy Uber został oskarżony o stosowanie geofencingu w okolicy siedziby Apple w Cupertino. Wtedy aplikacja automatycznie wyłączała kody używane do śledzenia użytkowników, gdy była uruchamiana w pobliżu biur Apple. Mimo tego incydentu, wydaje się, że Apple nie wprowadził wystarczająco skutecznych środków zapobiegawczych.
Skala wyzwania, przed którym stoi Apple, jest ogromna. Dane z 2021 roku pokazują, że zespół recenzentów App Store składa się z ponad 500 ekspertów, którzy co tydzień analizują ponad 100 000 aplikacji. Większość aplikacji przechodzi najpierw przez automatyczny proces weryfikacji, zanim trafi do ręcznej kontroli. Ten dwuetapowy system ma zapewnić zgodność aplikacji z wytycznymi App Store, ale jak widać, nie jest w pełni odporny na zaawansowane techniki oszustwa.
Wraz ze wzrostem liczby aplikacji mobilnych rośnie także liczba zagrożeń związanych ze złośliwym oprogramowaniem. Apple, podobnie jak inne duże firmy technologiczne, musi ciągle udoskonalać metody weryfikacji aplikacji.
