Skip to main content

Исследование мошеннического приложения для macOS, созданного фиктивным разработчиком, выдающим себя за законные учетные записи, показывает, как можно манипулировать системой проверки Mac App Store.

Шпионское и вредоносное ПО — постоянная проблема в компьютерной сфере, и Apple пытается обеспечить безопасность, поддерживая безопасность App Store и Mac App Store. Естественно, злоумышленники затем пытаются злоупотребить этими системами и обойти функции безопасности Apple.

В сообщении Privacy1St на Medium, посвященном методам, используемым мошенниками, объясняется, что произошло с одним приложением, которое использовало ряд областей экосистемы Apple, чтобы добиться прогресса.

Авария касается приложения под названием GPT4 — AI Chat Robot Assistant от SkyLink Tech.

Разработчик, о котором идет речь, нарушил права на товарные знаки, манипулировал системой Mac App Store для получения отзывов, а также создал поддельную учетную запись разработчика, которая дублировала универсальную систему нумерации данных (DUNS) законной учетной записи, уникальный идентификатор компании.

Получение фейковых аккаунтов

Обычный процесс получения учетной записи разработчика зависит от наличия у разработчика существующего номера DUNS или регистрации нового через признанный орган. Этот номер предоставляется Apple вместе с контактной информацией, которую Apple затем использует для подтверждения легитимности регистрации.

Однако Apple на самом деле спрашивает только о том, является ли представитель законным и его имя. В отчете это описано как «упрощенное» и менее строгое, чем в других организациях.

Мошенники используют веб-сайты для регистрации и получения номера DUNS компании без разрешения. При отправке формы они указывают свои контактные данные, а затем просто притворяются представителем или владельцем выдаваемой за себя компании.

Помимо регистрации

После регистрации приложение, за которым наблюдают, затем использует методы, чтобы завоевать доверие пользователей закулисными способами.

Начнем с того, что приложение утверждает, что оно связано с OpenAI, компанией, стоящей за ChatGPT, и использует названия продуктов и похожие логотипы, чтобы представить приложение как официальное. Или, по крайней мере, чтобы запутать пользователей настолько, чтобы они поверили, что это действительно так.

Затем приложения предоставляют откровенно ложные снимки экрана, включая утверждения, что они создавались не только на OpenAI, но и на GoogleAI. Google еще не разрешил никому иметь доступ на уровне ChatGPT к своим собственным системам искусственного интеллекта.

Внутри самого приложения приложение предлагает вознаграждения и подарки пользователям за написание хороших отзывов в Mac App Store, поскольку хорошие отзывы помогают другим загружать приложения. Проблема здесь в том, что вознаграждения за хорошие отзывы противоречат правилам Apple App Store в соответствии с условиями обнаружения мошенничества.

Приложение также вводит в заблуждение относительно платного доступа, сообщая пользователям, что они получат бесплатное использование, но на самом деле они не получат того, что было обещано. В случае с приложением оно разблокирует «Обучение OpenAI» и другие функции.

Помимо более очевидных проблем, было обнаружено, что приложение тайно собирало UUID Mac, не спрашивая разрешения. В этом случае UUID Mac используется для отслеживания вызовов API OpenAI.

Ничего не было сделано

Несмотря на то, что приложение было обнаружено и сообщено в Apple 13 сентября, оно все еще доступно в Mac App Store, и никаких действий предпринято не было, говорится в отчете.

Подводя итог, в отчете утверждается, что различные проблемы с приложением «показывают, что, даже если продукты Apple хорошо сконструированы, существует множество вещей, которые необходимо решить. Что еще больше беспокоит, так это то, что кажется, что Apple мало что делает, люди сообщают об этих мошенничествах».

«Apple должна предоставить людям четкие и быстрые способы просто сообщать о такого рода мошенничествах».

Это не первый случай, когда Apple критикуют за ослабление безопасности Mac App Store. В апреле был опубликован аналогичный отчет о мошеннических приложениях, охватывающий многие из тех же областей нового отчета.