תוכנה זדונית

המדיניות שלנו בנושא תוכנות זדוניות פשוטה: בסביבה העסקית של Android, כולל בחנות Google Play, ובמכשירי המשתמשים, אין מקום להתנהגות זדונית (לדוגמה, תוכנות זדוניות). זהו עיקרון היסוד שלנו, שבעזרתו אנחנו שואפים לספק סביבה עסקית בטוחה ב-Android למשתמשים ולמכשירי Android שלהם.

תוכנה זדונית היא כל קוד שעלול לסכן את המשתמש, את הנתונים של המשתמש או את המכשיר. תוכנות זדוניות כוללות, בין היתר, אפליקציות שעלולות להזיק (PHA), תוכנות בינאריות או שינויים של framework, ומסווגות לקטגוריות כמו סוסים טרויאנים, פישינג ורוגלות. אנחנו מעדכנים ומוסיפים קטגוריות חדשות כל הזמן.

יש סוגים שונים של תוכנות זדוניות, עם יכולות שונות, אבל לכולן יש בדרך כלל אחת מהמטרות הבאות:

• לפגוע בתקינות המכשיר של המשתמש.
• שליטה במכשיר של המשתמש.
• לאפשר פעולות בשליטה מרחוק כדי שהתוקף יוכל לגשת למכשיר שנפגע, להשתמש בו או לנצל אותו לרעה בדרך אחרת.
• להעביר מידע אישי או פרטי כניסה מהמכשיר ללא גילוי נאות והסכמה מתאימים.
• להפיץ ספאם או פקודות מהמכשיר הנפגע כדי להשפיע על מכשירים או רשתות אחרים.
• לרמות את המשתמש.

שינוי של אפליקציה, אפליקציה בינארית או שינוי של framework יכולים לגרום נזק, ולכן עלולה ליצור התנהגות זדונית, גם אם זה לא היה כוונה להזיק. הסיבה לכך היא שאפליקציות, קבצים בינאריים או שינויים ב-framework יכולים לפעול באופן שונה, בהתאם למגוון משתנים. לכן, תכונות שמזיקות למכשיר Android אחד לא מהוות סיכון כלל למכשיר Android אחר. לדוגמה, מכשיר עם הגרסה האחרונה של Android לא מושפע מאפליקציות מזיקות שמשתמשות בממשקי API שהוצאו משימוש כדי לבצע התנהגות זדונית, אבל מכשיר שבו פועלת עדיין גרסה מוקדמת מאוד של Android עלול להיות בסיכון. אפליקציות, קבצים בינאריים או שינויים ב-framework מסומנים כתוכנות זדוניות או כPHA אם הם גורמים בבירור סיכון לחלק ממכשירי Android ולמשתמשים או לכולם.

הקטגוריות של התוכנות הזדוניות שמפורטות בהמשך משקפות את האמונה הבסיסית שלנו, שהמשתמשים צריכים להבין את אופן השימוש במכשיר שלהם ולקדם סביבה עסקית מאובטחת שמאפשרת חדשנות רבת-עוצמה וחוויית משתמש מהימנה.

קטגוריות של תוכנות זדוניות

דלתות אחוריות

קוד שמאפשר לבצע במכשיר פעולות לא רצויות שעלולות להזיק, שנשלטות מרחוק.

פעולות אלה עשויות לכלול התנהגות שתציב שינוי באפליקציה, בקובץ הבינארי או ב-framework לאחת מהקטגוריות האחרות של תוכנות זדוניות, אם הן יופעלו באופן אוטומטי. באופן כללי, Backdoor הוא תיאור של האופן שבו פעולה שעלולה להזיק (PHA) עלולה להתרחש במכשיר, ולכן היא לא תואמת לחלוטין לקטגוריות כמו הונאות חיוב או רוגלות מסחריות. כתוצאה מכך, קבוצת משנה של דלתות אחוריות, בנסיבות מסוימות, מטופלת על ידי Google Play Protect כנקודת חולשה.

הערה: הסיווג של קטגוריית התוכנות הזדוניות ברקע מסתמך על אופן הפעולה של הקוד. התנאי הנדרש כדי לסווג כל קוד כדלת אחורית הוא שהוא יאפשר התנהגות שתציב את הקוד לאחת מהקטגוריות האחרות של תוכנות זדוניות, אם הוא יופעל באופן אוטומטי. לדוגמה, אם אפליקציה מאפשרת טעינה דינמית של קוד והקוד שנטען באופן דינמי מחלץ הודעות טקסט, היא תסווג כתוכנה זדונית של דלת אחורית.

עם זאת, אם אפליקציה מאפשרת ביצוע שרירותי של קוד ואין לנו סיבה להאמין שביצוע הקוד נוסף לביצוע התנהגות זדונית, המערכת תתייחס לאפליקציה כאל פרצת אבטחה ולא כתוכנה זדונית של דלת אחורית, והמפתח יתבקש לתקן אותה.

הונאת חיובים

קוד שטוען את המשתמש באופן אוטומטי תוך כדי הטעיה מכוונת.

ההונאות בחיוב דרך הנייד מחולקות להונאת הודעות SMS, הונאת שיחות והונאות שיחות.

הונאת הודעות SMS

קוד שמחייב משתמשים לשלוח הודעות SMS פרימיום ללא הסכמה, או מנסה להסוות את פעילויות ה-SMS שלו על ידי הסתרת הסכמי גילוי נאות או הודעות SMS מספק הסלולר שמיידע את המשתמשים על חיובים או אישור מינויים.

חלק מקודי הקודים, למרות שמבחינה טכנית חושפים התנהגות של שליחת SMS, מציגים התנהגות נוספת שיכולה להכיל הונאת הודעות SMS. לדוגמה, הסתרת חלקים מהסכם גילוי נאות מהמשתמש, הפיכתם לבלתי קריאים והסתרה מותנה של הודעות ה-SMS מספק הסלולר המיידעות את המשתמש על חיובים או אישור מינוי.

הונאת שיחות

קוד שמחייב משתמשים על ידי ביצוע שיחות למספרי פרימיום ללא הסכמת המשתמש.

הונאת בתשלום

קוד שגורם למשתמשים להירשם או לרכוש תוכן באמצעות חשבון הטלפון הנייד שלהם.

שיחה בתשלום כוללת כל סוג של חיוב, מלבד הודעות SMS ושיחות פרימיום. למשל, חיוב ישיר על ידי ספק, נקודת גישה אלחוטית (WAP) והעברה בזמן אוויר בנייד. הונאות WAP הן אחד מהסוגים הנפוצים ביותר של הונאות בתשלום. הונאת WAP יכולה לכלול הונאת משתמשים כדי שילחצו על לחצן ב-WebView שקוף שנטען במצב שקט. אחרי ביצוע הפעולה, מתחיל מינוי חוזר, ובדרך כלל הודעת האישור ב-SMS או הודעת האישור נפרצת כדי למנוע ממשתמשים להבחין בעסקה הפיננסית.

תוכנת מעקב

קוד שאוסף נתוני משתמש אישיים או רגישים מהמכשיר ומעביר את הנתונים האלה לצד שלישי (ארגון או אדם פרטי אחר) למטרות מעקב.

חובה להציג באפליקציות גילוי נאות במקום בולט ולקבל הסכמה כנדרש לפי המדיניות בנושא נתוני משתמשים.

אפליקציות שהפונקציונליות היחידה שלהן היא מעקב אחר אדם אחר (לדוגמה: בשביל הורים שרוצים להשגיח על הילדים שלהם או מנהלים בארגון) ומשווקות רק למטרות מעקב אחרי עובדים מסוימים, בתנאי שהן עומדות באופן מלא בדרישות שמתוארות בהמשך המסמך הזה הן אפליקציות המעקב המקובלות היחידות. אסור להשתמש באפליקציות האלה כדי לעקוב אחרי אנשים אחרים (לדוגמה, בני זוג), גם אם אותם אנשים מודעים לכך ונותנים לכך הרשאה וגם אם מוצגת התראה קבועה בנוגע לכך. הסימון של המטא-נתונים IsMonitoringTool חייב להופיע בקובץ המניפסט של האפליקציות האלה כדי לסווג אותן בצורה הולמת כאפליקציות מעקב.

אפליקציות מעקב צריכות לעמוד בדרישות הבאות:

• אין להציג את האפליקציות כפתרון לריגול או למעקב חשאי.
• אסור להסתיר או להסוות את פעולת המעקב של האפליקציה, ואסור לנסות להטעות משתמשים לגבי פונקציונליות כזו.
• אפליקציות מהסוג הזה צריכות להיות מסומנות בסמל שמזהה אותן בבירור, וכל עוד הן פועלות המשתמשים צריכים לראות התראה שמיידעת אותם על כך.
• חובה לכלול בתיאור האפליקציה בחנות Google Play הצהרה בנוגע לפונקציונליות המעקב.
• אסור לכלול באפליקציות ובדפי אפליקציות ב-Google Play אמצעים להפעלת או גישה לפונקציונליות שמפירה את התנאים האלה, למשל קישור לחבילת APK שמתארחת מחוץ ל-Google Play ולא עומדת בדרישות.
• אפליקציות חייבות לציית לכל הדינים החלים. האחריות לבדוק את החוקיות של האפליקציה בלוקאל שבו ברצונך להפיץ אותה מוטלת עליך בלבד.

מידע נוסף זמין במאמר isMonitoringTool במרכז העזרה בנושא סימונים.

התקפת מניעת שירות (DoS)

קוד שמבצע ללא ידיעת המשתמש התקפת מניעת שירות (DoS), או שהוא חלק מהתקפת מניעת שירות (DoS) מבוזרת כנגד מערכות ומשאבים אחרים.

לדוגמה, מצב כזה יכול לקרות כששולחים כמות גדולה של בקשות HTTP כדי לייצר עומס יתר על שרתים מרוחקים.

מורידים פעולות עוינות

קוד שהוא לא בפני עצמו שעלול להזיק, אבל מוריד אפליקציות PHA אחרות.

קוד עשוי להיות כלי להורדת תוכנות עוין אם:

• יש סיבה להאמין שהוא נוצר לצורך הפצה של אפליקציות שעלולות להזיק, והוא הוריד PHA או מכיל קוד שיכול להוריד ולהתקין אפליקציות; או
• לפחות 5% מהאפליקציות שהוא מוריד הן אפליקציות שעלולות להזיק (PHA) עם סף מינימלי של 500 הורדות של האפליקציה שזוהו (25 הורדות של אפליקציות שעלולות להזיק).

דפדפנים גדולים ואפליקציות לשיתוף קבצים לא נחשבים להורדת תוכנות עוינות, כל עוד:

• הם לא מעודדים הורדות ללא אינטראקציה מצד המשתמש.
• כל ההורדות של אפליקציות שעלולות להזיק (PHA) מופעלות על ידי משתמשים שהביעו הסכמה.

איום שלא מ-Android

קוד שכולל איומים שאינם של Android.

האפליקציות האלה לא יכולות לגרום נזק למשתמש או למכשיר Android, אבל הן מכילות רכיבים שעלולים להזיק לפלטפורמות אחרות.

פישינג

קוד שנראה כאילו הוא מגיע ממקור מהימן, מבקש מהמשתמשים פרטי כניסה לאימות או נתוני חיוב ושולח את הנתונים לצד שלישי. הקטגוריה הזו חלה גם על קוד ליירט את ההעברה של פרטי כניסה של משתמשים בזמן ההעברה.

דוגמאות ליעדים נפוצים לפישינג: פרטי כניסה לחשבון בנק, מספרי כרטיסי אשראי ופרטי כניסה לחשבון אונליין של רשתות חברתיות ומשחקים.

ניצול לרעה של הרשאות מורחבות

קוד שפוגע בתקינות המערכת על ידי פריצת ארגז החול (Sandbox) של האפליקציה, קבלת הרשאות מורחבות או שינוי או השבתה של הגישה לפונקציות ליבה הקשורות לאבטחה.

לדוגמה:

• אפליקציה שמפירה את מודל ההרשאות של Android, או גונבת פרטי כניסה (למשל אסימוני OAuth) מאפליקציות אחרות.
• אפליקציות שמנצלות לרעה תכונות כדי למנוע הסרה או הפסקה שלהן.
• אפליקציה שמשביתה את SELinux.

אפליקציות להסלמת הרשאות (privilege escalation), שמכשירים לרמה הבסיסית (root) ללא הרשאת המשתמש מסווגות כאפליקציות שעברו תהליך רוט (Root).

תוכנת כופר

קוד שדורש שליטה חלקית או נרחבת במכשיר או בנתונים במכשיר, ודורש שהמשתמש יבצע תשלום או יבצע פעולה כדי לשחרר את הבקרה.

תוכנות כופר מסוימות מצפינה את הנתונים במכשיר ודורשת תשלום כדי לפענח את הנתונים ו/או להשתמש בתכונות הניהול של המכשיר כדי שמשתמש רגיל לא יוכל להסיר אותם. לדוגמה:

• נעילת המשתמש מחוץ למכשיר ודרישת כסף כדי לשחזר את שליטתו של המשתמש.
• הצפנת נתונים במכשיר ודרישת תשלום, לכאורה כדי לפענח את הנתונים.
• ניצול התכונות של מנהל מדיניות המכשיר וחסימת ההסרה על ידי המשתמש.

יכול להיות שקוד שמופץ עם המכשיר שמטרתו העיקרית היא ניהול מכשירים מסובסד, יוחרג מקטגוריית תוכנות הכופר, בתנאי שהוא עומד בהצלחה בדרישות לנעילה ולניהול מאובטחים, ובדרישות מתאימות של גילוי נאות והסכמה למשתמשים.

תהליך רוט (Root)

הקוד שמבצע את הבסיס של המכשיר.

יש הבדל בין קוד רוט (Rooting) לא זדוני לבין קוד רוט (Root) זדוני. לדוגמה, אפליקציות שעברו תהליך רוט (Root) מיידעות את המשתמש מראש שהוא עומד להעביר את המכשיר לרמה הבסיסית (root), והן לא מבצעות פעולות אחרות שעלולות להזיק (PHA) שחלות על קטגוריות אחרות של אפליקציות שעלולות להזיק (PHA).

אפליקציות רוט (Root) זדוניות לא מודיעות למשתמש על כך שהן עומדות לבצע רוט (Root) במכשיר או מודיעות לו מראש על תהליך הרוט (Root) אלא גם מבצעות פעולות אחרות שרלוונטיות לקטגוריות אחרות של אפליקציות שעלולות להזיק (PHA).

ספאם

קוד ששולח הודעות לא רצויות לאנשי הקשר של המשתמש או משתמש במכשיר כממסר של ספאם באימייל.

רוגלה:

רוגלה היא אפליקציה, קוד או התנהגות זדוניים שאוספים, פולטים או משתפים נתוני משתמש או מכשירים שאינם קשורים לפונקציונליות בהתאם למדיניות.

התנהגויות או קוד זדוני שעשויים להיחשב כריגול על המשתמש או כחילוץ נתונים ללא התראה או הסכמה מתאימות, נחשבים גם הם כרוגלה.

לדוגמה, הפרות של רוגלות כוללות, בין היתר:

• הקלטת אודיו או הקלטת שיחות שבוצעו לטלפון
• גניבת נתוני אפליקציה
• אפליקציה עם קוד זדוני של צד שלישי (לדוגמה, SDK) שמעביר נתונים אל מחוץ למכשיר באופן שאינו צפוי למשתמש, ו/או ללא הודעה או הסכמה מתאימות של המשתמש.

טרויאני

קוד שנראה לא נעים, למשל משחק שנטען בו שהוא רק משחק, אבל מבצע פעולות לא רצויות נגד המשתמש.

בדרך כלל משתמשים בסיווג הזה בשילוב עם קטגוריות אחרות של אפליקציות שעלולות להזיק (PHA). בסוס טרויאני יש רכיב תמים ורכיב מזיק נסתר. לדוגמה, משחק ששולח הודעות SMS פרימיום מהמכשיר של המשתמש ברקע, וללא ידיעתו.

הערה לגבי אפליקציות לא נפוצות

אפליקציות חדשות ונדירות יכולות לקבל סיווג 'לא נפוצות' אם ל-Google Play Protect אין מספיק מידע כדי למחוק אותן כאפליקציות בטוחות. זה לא אומר שהאפליקציה מזיקה בהכרח, אבל גם ללא בדיקה נוספת לא ניתן לוודא שהיא בטוחה.

מסיכות

אפליקציה שמשתמשת במגוון שיטות התחמקות כדי להציג למשתמש פונקציונליות שונה או מזויפת של אפליקציה. האפליקציות האלה מסתירות את עצמן כאפליקציות או משחקים לגיטימיים כך שנראה שהן תמימות לחנויות האפליקציות, והן משתמשות בטכניקות כמו ערפול קוד (obfuscation), טעינת קוד דינמי או הסוואה כדי לחשוף תוכן זדוני.

מיסוך דומה לקטגוריות אחרות של אפליקציות שעלולות להזיק (PHA), במיוחד טרויאני, וההבדל העיקרי בין שתי השיטות הוא השיטות שמשמשות לערפול קוד (obfuscation) של הפעילות הזדונית.

תוכנה לא רצויה לנייד (MUwS)

Google מגדירה תוכנות לא רצויות (UwS) כאפליקציות שהן לא רק תוכנות זדוניות, אבל מזיקות לסביבה העסקית של התוכנות. תוכנה לא רצויה בנייד (MUwS) מתחזה לאפליקציות אחרות או אוספת לפחות אחת מהאפליקציות הבאות ללא הסכמת המשתמש:

• מספר הטלפון של המכשיר
• כתובת אימייל ראשית
• מידע על האפליקציות המותקנות
• מידע על חשבונות של צדדים שלישיים

המעקב אחר MUwS מתבצע בנפרד מהמעקב אחר תוכנות זדוניות. הקטגוריות של MUwS מפורטות כאן.

אזהרות של Google Play Protect

כששירות Google Play Protect מזהה הפרה של המדיניות בנושא תוכנות זדוניות, מוצגת אזהרה למשתמש. מחרוזות אזהרה לגבי כל הפרה זמינות כאן.