Перейти к содержанию
AM_Bot

Новый троянец-шпион крадет СМС с мобильных устройств на базе Android

Recommended Posts

AM_Bot

21 июня 2012 года

Компания «Доктор Веб» — российский разработчик средств информационной безопасности — предупреждает о появлении новой версии шпиона Android.SpyEye, предназначенного для перехвата злоумышленниками входящих СМС-сообщений пользователей мобильных устройств. Этот троянец скрывается за приложением Android Security Suite Premium, якобы обеспечивающим защиту смартфона от вредоносного ПО.

Новая версия троянца, добавленная в вирусные базы как Android.SpyEye.2.origin, распространяется под видом защитного приложения Android Security Suite Premium и имеет соответствующую иконку. После запуска программы на экране мобильного устройства также отображается образ щита и некий код активации.

scr_1.jpg

scr_2.jpg

Несколько дней назад некоторые эксперты уже информировали об этом троянце, но специалистам компании «Доктор Веб» удалось более детально изучить его особенности. Android.SpyEye.2.origin является представителем троянцев-шпионов, главная цель которых — получить доступ к СМС-сообщениям, поступающим на мобильный номер пользователя от банковских систем при выполнении ряда финансовых операций. В таких сообщениях содержится одноразовый код (т. н. mTAN-код), который пользователь должен ввести в специальную форму, чтобы подтвердить выполнение денежной транзакции.

Троянец отслеживает несколько системных событий: SMS_RECEIVED (получение нового СМС-сообщения), NEW_OUTGOING_CALL (исходящий с мобильного устройства звонок) и BOOT_COMPLETED (загрузка операционной системы).

Киберпреступники имеют возможность определенным образом контролировать троянца удаленно. При поступлении нового сообщения Android.SpyEye.2.origin проверяет, содержится ли в тексте предназначенная для него команда. Если это так, вредоносная программа выполняет ее, а само сообщение удаляет. Злоумышленники могут задействовать несколько функций:

  • активацию режима работы, при котором троянец отправляет все вновь поступающие СМС на заданный номер, при этом целевой номер указывается в командном сообщении;
  • деактивацию этого режима;
  • команду на удаление троянца.

Если управляющая команда во входящем сообщении отсутствует, информация о нем добавляется в специальную базу данных.

При обнаружении исходящего вызова, а также после загрузки операционной системы троянец ждет 180 секунд, после чего помещает в ту же базу данных сведения о последнем входящем СМС-сообщении. Если же добавление этих сведений в базу было сделано ранее, то имеющиеся данные загружаются на сервер злоумышленников.

scr_3.png

scr_4_416.png

Следует также отметить, что после обработки поступающего СМС троянец отправляет на принадлежащий злоумышленникам сервер информацию о номере мобильного телефона и идентификатор инфицированного устройства.

Таким образом, помимо сведений, представляющих непосредственную финансовую ценность (mTAN-коды), в руки злоумышленников могут попасть и другие важные данные, например часть личной переписки жертвы.

Пользователи антивирусных продуктов Dr.Web для Android защищены от данной вредоносной программы: все ее модификации успешно детектируются с использованием технологии Origins Tracing™.

Источник

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Viktor
Но у нас более развёрнуто. :)

Типа "Зато мы хорошо поем и танцуем" :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • demkd
      (!) Эта версия пока протестирована только для старших систем Win7 & Win10, в младших возможны проблемы.
      ---------------------------------------------------------
       4.0.19
      ---------------------------------------------------------
       o В окно информации о процессе добавлены проценты загрузки GPU с момента _создания_ процесса.
         Процесс со средней загрузкой >15% хотя бы одного видеоадаптера автоматически получает статус "подозрительный".
         Любой процесс использующий ресурсы GPU получает новый статус "GPU".
         Процессы НЕ использущие впрямую GPU не имеют строчек загрузки GPU в информации о файле.
         GPU нумеруются с 1-ки, нумерация произвольная и не имеет отношения к реальному порядку видеокарт на шине.
         Загрузка считается для каждого видеоадаптера отдельно.  o Оптимизирована функция поиска внедренных потоков.  o Теперь замороженные потоки в логе помечаются дополнительным индикатором состояния "[suspended]".    Майнер в логе:
      (!) Процесс нагружает GPU 1: C:\TOOLS\ZCASH\ZECMINER64.EXE
      (!) Процесс нагружает GPU 2: C:\TOOLS\ZCASH\ZECMINER64.EXE
      (!) Процесс нагружает GPU 3: C:\TOOLS\ZCASH\ZECMINER64.EXE
      (!) Процесс нагружает GPU 4: C:\TOOLS\ZCASH\ZECMINER64.EXE

      В  окне информации о файле:
    • demkd
      ничего действительно рабочего в данный момент не существует, uVS будет первым
    • PR55.RP55
      1) Код system monitor с отслеживанием GPU https://github.com/brndnmtthws/conky/blob/fcbc5c8ba2a9546f50661a4846aef2f76f07a066/src/nvidia.cc 2) Возможно стоит найти Benchmark с открытым исходным кодом.
    • demkd
      даже скомплировалось, но интереса никакого не представляет, проще использвать WMI для этого, который и в XP работает в отличии от этого примера,  еще и работает криво, даже набортную видео память правильно определить не смогло, 4Gb рисует вместо 11gb. а это вообще не в тему.
    • PR55.RP55
      Возможно будет полезно. 1) Обнаружение GPU intel с примером кода. https://software.intel.com/ru-ru/articles/gpu-detect-sample 2) Использование GPU - Visual Studio  в плане тестирования. https://msdn.microsoft.com/ru-ru/library/mt126195.aspx    
×