Aplicație falsă „Google Chrome” pe Google Play: ce știm și ce nu știm

Utilizatorii de Android au găsit săptămâna aceasta pe Google Play o aplicație prezentată drept Google Chrome, cu numele, pictograma și descrierea browserului copiate. Dezvoltatorul era însă o entitate puțin cunoscută, Hizbartech, nu Google LLC. Potrivit utilizatorilor, aplicația apărea ca rezultat sponsorizat, deasupra browserului real, la căutarea „Chrome”. Pagina afișa și insigna 100K+ descărcări, care o făcea să pară de încredere la prima vedere.

Este un caz clar de uzurpare a unei mărci într-un magazin oficial de aplicații. Dovezile publice nu arată însă că aplicația ar fi livrat malware. Ambele aspecte contează.

Ce s-a întâmplat

Pagina din magazin. Nume, pictogramă și descriere copiate de la Chrome; editor „Hizbartech”; dimensiune de circa 42 MB; marcată „în dezvoltare / Early Access” și încadrată la Comunicare, nu ca browser.
Cum a fost descoperită. Un membru al comunității r/browsers de pe Reddit a publicat o captură a rezultatului sponsorizat. Apoi publicații dedicate Android au investigat. Una dintre ele a găsit aplicația căutând numele dezvoltatorului, dar nu a putut reproduce rezultatul sponsorizat pentru „Chrome”.
O identitate schimbată. Identificatorul de pachet, com.ballbounce.Hizbartech, leagă aplicația de un joc mai vechi, Ball Bounce. Rapoartele plasează jocul în magazin în jurul lunii august (o arhivă sugerează chiar iulie), iar trecerea la identitatea Chrome spre sfârșitul lui septembrie. Datele exacte rămân neclare.
Ce făcea de fapt. Utilizatorii care au instalat-o descriu o aplicație de chat cu avatare AI și răspunsuri predefinite, nu un browser.
Situația actuală. Rapoarte ulterioare arată că pagina pare să fi fost eliminată. Linkul returna „not found” pe 14 octombrie, dar asta nu confirmă eliminarea în toate regiunile.

Ce nu arată dovezile

Până acum nimeni nu a publicat o analiză de cod, hash-uri sau indicatori de rețea pentru această aplicație. Nu există dovezi publice de furt de parole, control de la distanță, ecrane false pentru aplicații bancare, payload-uri criptate sau exploatarea unei vulnerabilități Android. Campaniile anterioare cu pagini false de descărcare Chrome care distribuiau spyware, sau aplicațiile „loader” din Play care aduceau ulterior troieni bancari, sunt cazuri separate. Indicatorii lor nu trebuie atribuiți acestei aplicații.

Nici cifra de 100K+ nu e atât de solidă pe cât pare. Descărcările se adună pe numele pachetului, inclusiv după redenumiri, deci insigna nu dovedește că 100.000 de oameni au instalat aplicația în timp ce se dădea drept Chrome.

De ce contează

Chiar fără un payload confirmat, cazul arată că o aplicație redenumită poate trece de verificările magazinului, poate prelua identitatea unei mărci de încredere și (conform relatărilor) poate cumpăra o poziție publicitară deasupra produsului original. Același tipar funcționează la fel de bine pentru adware, colectare de date sau o actualizare malițioasă ulterioară. Utilizatorii iau o pictogramă cunoscută, un loc „sponsorizat” și multe descărcări drept semne de încredere. Aici, toate trei erau înșelătoare.

Ce este de făcut

Pentru utilizatori

În Google Play, deschideți pagina Chrome și verificați că dezvoltatorul este Google LLC. Pachetul real este com.android.chrome.
Tratați cu prudență rezultatele sponsorizate pentru aplicațiile foarte cunoscute. Coborâți la rezultatul obișnuit și verificați editorul.
Dacă ați instalat „Chrome”-ul de la Hizbartech, dezinstalați-l și rulați o scanare Google Play Protect.

Pentru echipele de securitate și IT

În inventarele MDM/EMM, căutați pachetul com.ballbounce.Hizbartech, nu numele afișat „Chrome”. ID-ul de pachet este mult mai fiabil decât numele aplicației.
Unde se poate, permiteți aplicațiile de bază, precum browserele, doar pe baza ID-ului de pachet și a certificatului de semnare pe dispozitivele Android administrate.
Dacă găsiți aplicația, eliminați-o și verificați permisiunile acordate. Înregistrați cazul ca uzurpare de identitate sau încălcare de politică, nu ca o compromitere confirmată, dacă nu aveți dovezi separate de acces la date.
Folosiți cazul în instruirile de conștientizare ca exemplu concret că „sponsorizat + pictogramă cunoscută + multe descărcări” nu înseamnă că aplicația e legitimă.

Surse: relatat inițial de Cyber Security News, pe baza relatărilor PiunikaWeb, Android Authority și SammyGuru, și a unei postări a unui utilizator din comunitatea r/browsers de pe Reddit.