Зловред Vapor для устройств под управлением ОС Android в составе различных приложений был загружен из флагманского магазина Google Play Store в общей сложности порядка 60 миллионов раз на протяжении примерно 12 месяцев. Первым информацию об обнаружении этого вредоносного ПО распространили специалисты IAS Threat Lab, которые и дали ему название Vapor. Они установили, что кампания по его распространению активна с начала 2024 года и идентифицировали 180 различных Android-приложений, задействованных для этих целей.

Чуть позже исследователи компании Bitdefender скорректировали эту цифру в сторону увеличения: они выявили 331 вредоносное приложение. Эти приложения самого разного функционала - от фитнес-трекеров и сканнеров QR-кодов до менеджеров оптимизации использования батареи и программ для заметок. Стоит назвать приложения AquaTracker, ClickSave Downloader, Scan Hawk, Water Time Tracker и Be More, каждое из которых было загружено из Google Play Store около 1 миллиона раз. Чаще всего вредоносные приложения загружались пользователями из Бразилии, США, Мексики, Турции и Южной Кореи.

Все приложения успешно прошли проверки безопасности Google Play Store, используя для этого уже известный рецепт. Они имеют заявленный функционал и на момент загрузки не содержали вредоносных элементов. Они загружались позднее с командных серверов разработчиков в ходе обновлений. При этом сами приложения загружались в магазин со множества различных аккаунтов разработчиков - очевидно, чтобы сохранить масштаб операции, если какие-то из приложений будут идентифицированы как вредоносные.

Vapor является инструментом для накрутки рекламных кликов. Приложения, инфицированные им, после установки удаляют себя из списка активных, после чего в фоновом режиме выходят на связь с командными серверами и загружают поверх всех окон рекламные баннеры Таким образом, у пользователя просто не остается никакого выхода, кроме как кликнуть на них. Только по оценкам IAS Threat Lab это приносило порядка 200 миллионов рекламных кликов в день.

При этом в некоторых случаях зловред использовался и в фишинговых атаках. В этом случае экран перекрывался фальшивой страницей авторизации в YouTube или одной из социальных сетей. В настоящее время все вредоносные приложения удалены из магазина Google Play Store.