Перейти к содержанию
apq

Виктор Яблоков рассказывает в своем блоге о безсигнатурной защите от смс-троянов на Windows Mobile

Recommended Posts

apq

Сегодня мы поговорим о методе бессигнатурной защиты от набравших в последнее время обороты SMS-Trojans, опустошающих счета пользователей путем скрытой отправки SMS на премиум номера. Предложенный в статье способ будет полезен обладателям смартфонов на базе операционной системы Windows Mobile 5.0/6.*.

sms_protection.jpg

В последнее время самыми популярными вирусными угрозами для смартфонов являются троянские программы, осуществляющие скрытую рассылку дорогостоящих SMS на премиум-номера, контролируемые злоумышленниками, при этом стоимость одного такого SMS варьируется от нескольких десятков до 3-5 сотен отечественных рублей, так что опустошение счета происходит практически мгновенно. Вернуть деньги в таких случаях, как показывает практика, практически невозможно.

Троянские программы данного типа известны уже более 4х лет. Первым, напомню, был появившийся в феврале 2006 Redbrowser и долгое время остававшийся единственным семейством. Ситуация начала меняться около полутора лет назад, и в настоящее время новые предствители различных семейств SMS-Trojans в среднем появляются примерно раз в день, в то же время пользователи смартфонов пока не имеют культуры ежедневного обновления баз, а в ряде случаев и вовсе не устанавливают на свои смартфоны антивирусные решения. Кроме того, не стоит забывать о реактивном характере сигнатурной защиты, не обеспечивающем немедленную защиту от вновь появляющихся угроз. В этой ситуации на помощь могут придти проактивные методы, к коим можно отнести принудительную блокировку исходящих SMS на премиум-номера функцией "Родительский Контроль" решения Kaspersky Mobile Security. "При чем тут Родительский Контроль?", - спросите вы. Дело в том, что премиум- номера, используемые злоумышленниками, как правило состоят из четырых цифр (встречаются, конечно, и трехзначные, например, в Индонезии, но блокировка их осуществляется аналогично). Для запрета рассылки премиум-SMS на такие номера достаточно создать одно правило, запрещающее отправку сообщений на четырехзначные номера (правило создается добавлением записи "????" в черный список).

Данный способ поможет выстроить защиту от абсолютно всех SMS-Trojans, будь то вредоносные программы на J2ME или на WinCE Api. Достаточно создать одно правило - и Вы защищены. Просто, не правда ли? smile.gif

Trojan-SMS.J2ME.Agent.ag В качестве доказательства работоспособности защиты я попросил уважаемого apq проверить работу метода на произвольном трояне, коим по воле выбора стал Trojan-SMS.J2ME.Agent.ag.

Trojan_SMS.J2ME.Agent_.ag_.png

Метод сработал штатно и заблокировал отправку SMS на номер 5121, о чем можно посмотреть запись в журнале Родительского контроля KMS.

В заключение отмечу, что описанный в статье способ поможет организовать бессигнатурную защиту и от набирающих в последнее время обороты вредоносных программ, опустошающих счета пользователей путем звонков на платные номера. При этом в отличии от SMS-Trojans вредоносные программы этого типа уже выходят на глобальный уровень, о чем говорят недавно появившиеся Trojan.WinCE.Terdial.a и Trojan.WinCE.Terdial.b.

http://www.anti-malware.ru/node/2462

post-6659-1271879172_thumb.png

post-6659-1271879249.jpg

  • Upvote 10

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • santy
      Приветствую, SQx Скажи, в данной системе новые задачи (создаваемые из под Wn11), тоже попадали в папку C:\Windows\System32\Tasks_Migrated или в стандартную C:\Windows\System32\Tasks?
    • SQx
      Здравствуйте,

      Нам недавно попалась интересная тема на cyberforum, в которой дефендер находил вредоносную активность, но при этом утилитам нам не удалось найти.

      Как оказалось майнер восстанавливался из планировщика задач, но не стандартного, а мигрированого: C:\Windows\System32\Tasks_Migrated\Microsoft\Windows\Wininet Хотел бы уточнить у Вас,  если можете добавить его в uVS.

      P.S. Есть идея, что при апгрейде системы в случае если задачи корректно не перенеслись,  появиляется папка Tasks_Migrated. 

      Спасибо.
    • Ego Dekker
      Домашние антивирусы ESET были обновлены до версии 15.2.11.
    • PR55.RP55
    • PR55.RP55
      Microsoft  в Win11 ( на канале Dev.) - добавила новую функцию, позволяющую получить полный список приложений, которые в последнее время запрашивали доступ к конфиденциальной информации, включая камеру, микрофон и контакты. Новая функция также отслеживает программы, получившие за последнюю неделю доступ к данным местоположения, телефонным звонкам, переписке и скриншотам. https://www.comss.ru/page.php?id=10641 Возможно функция (  или её дальнейшее развитие ) будут полезны.      
×