Перейти к содержанию
AM_Bot

Android.MMarketPay.origin: троянец-шопоголик из Китая

Recommended Posts

AM_Bot

18 июля 2012 года

Компания «Доктор Веб» — российский разработчик средств информационной безопасности — предупреждает о распространении нового троянца, поражающего мобильные устройства под управлением ОС Android. Вредоносная программа представляет опасность для абонентов китайского оператора связи China Mobile: инфицировав мобильное устройство, Android.MMarketPay.origin осуществляет покупку приложений в электронном магазине оператора, что существенно сокращает средства на счету абонента.

Следуя современным тенденциям, оператор China Mobile имеет в своем распоряжении электронный магазин под названием Mobile Market, который содержит как платный, так и бесплатный контент. Mobile Market функционирует вполне стандартным способом: при совершении покупки сервисная система отправляет абоненту специальный код, который необходимо ввести для подтверждения операции. Это служит мерой предосторожности, например, от случайного или ошибочного приобретения. Стоимость контента в дальнейшем списывается непосредственно с мобильного счета пользователя.

Главная цель новой вредоносной программы Android.MMarketPay.origin — бесконтрольное приобретение платных приложений в этом магазине. Троянец выполняет все действия автоматически, перехватывая необходимые проверочные коды и подтверждая совершение покупок. Эта вредоносная программа могла быть создана как для увеличения прибыли недобросовестных разработчиков приложений, так и в целях навредить абонентам China Mobile и имиджу самого оператора.

Android.MMarketPay.origin распространяется в модифицированных злоумышленниками Android-программах, которые доступны для загрузки на различных китайских форумах и в каталогах приложений. Для сравнения ниже показаны функции, к которым будет иметь доступ программа после установки (слева — оригинал, справа — измененная злоумышленниками версия):

pic.png

Для совершения покупок в магазине Mobile Market пользователь должен быть в нем зарегистрирован и авторизован, однако если мобильное устройство подключено к Интернету через сотовую сеть оператора China Mobile, ввод аутентификационных данных для работы не требуется. Именно поэтому среди функций у модифицированной программы можно встретить возможность изменения настроек APN: внося соответствующие корректировки в параметры системы, троянец может сразу приступать к покупкам.

Доступ к работе с СМС-сообщениями необходим троянцу для перехвата кодов подтверждения. Ко всему прочему, Android.MMarketPay.origin также может обходить проверочные изображения captcha, отправляя их на специальный сервер для анализа.

Компания «Доктор Веб» призывает владельцев мобильных Android-устройств быть бдительными и устанавливать приложения только из надежных источников. Пользователи антивирусных продуктов Dr.Web для Android защищены от действия этой вредоносной программы.

Источник

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

Судя по последним "новостям" из "горячей" ленты Доктор продолжает находится в глубокой контузии.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • PR55.RP55
      https://www.comss.ru/page.php?id=586 При проверке ЭЦП  flash_player uVS выдаёт ошибку. ( в версии для firefox ) https://www.virustotal.com/ru/file/f3fc32449dccf88aed8a7d1f4bf35deb3064a03966f1223bcb1363d56e744b33/analysis/ Это происходит при пополнении базы SHA1 " Добавить хэши исполняемых файлов каталога в базу проверенных..." Но, не всегда.
    • Лукин Вадим
      Пришла мне в голову идея организовать самостоятельное путешествие по некоторым сказочным местам нашей Родины! Было бы здорово, если бы кто-то подсказал, где можно найти нормальные отели? Может есть какая-то прога?
    • Липковский Борис
      Моё отношение к казино вполне положительное, я уже больше полугода играю в слоты на сайте Play Fortuna Уже неоднократно поднимал там приличные деньги и не жалуюсь. Естественно и несколько раз проигрывал, но в каждой игре бывают проигрыши и это вполне нормально. На этом сайте есть разные слоты, их около двухсот штук, можно выбрать любой и на каждом из них высокий шанс выиграть.
    • Dima2_90
      Об особенностях сканирования исполняемых файлов антивирусами и доверии результатам VirusTotal - https://habr.com/post/346480/ Цитаты из статьи "Забавно, детект уменьшился с 60 для неупакованного файла и 41 для архива до 17 — при этом ни один из антивирусных движков не обнаружил Eicar, детекты явно имеют эвристический характер, а в ряде случаев напоминают ложное срабатывание (DrWeb, Baidu и др.)" "6 детектов из 67. Шесть, Карл! Все — эвристические. И скорее всего ничего не подозревающий пользователь посчитает файл безопасным." "современные антивирусные сканеры так и остались барахлом, которым были десяток-два лет назад, абсолютно пасующим перед простейшими видами упаковки кода. Решения в виде тестовых сред — «песочниц», эвристических анализаторов и т.д. только добавили неразберихи, ложных срабатываний, но по сути не защищают от реальной угрозы. Со старым, открытым и разжёванным до потрохов UPX как был бардак — так он и остался. А ведь я вполне мог упаковать не файл, вызывающий вредоносную активность, а непосредственно код, работать не с файлами на диске в %temp%, а в памяти, использовать не свободно доступные утилиты, а собственные или закрытые разработки — и таким образом обойти срабатывание резидентной защиты. Я вполне мог добавить интересные элементы интерфейса или скопировать таковой из распространённой программы — и обойти проактивку у неискушённого пользователя, который просто будет соглашаться с любыми запросами, доверяя тому, что запустил.

      То, что мы сделали выше — примитивный способ обмануть антивирус, который может понять и реализовать практически любой. И он сработал. Что говорить про искушённых специалистов!"
    • Dima2_90
      Ad-Aware --------- https://www.adaware.com/support/securitycenter/report_false_positives.php  Antiy-AVL --------- [email protected] Avast --------------- https://www.avast.ru/false-positive-file-form.php AVG ---------------- https://www.avg.com/ru-ru/false-positive-file-form Avira --------------- https://analysis.avira.com/en/submit BitDefender -------- https://www.bitdefender.com/submit/ ClamAV ------------ http://www.clamav.net/reports/fp DrWeb ------------- https://vms.drweb.ua/sendvirus ESET-NOD32 ------- https://www.esetnod32.ru/support/knowledge_base/new_virus/ Kaspersky --------- https://virusdesk.kaspersky.ru/ Microsoft ---------- https://www.microsoft.com/en-us/wdsi/filesubmission NANO-Antivirus ---- http://nanoav.ru/index.php?option=com_content&view=article&id=15&Itemid=83&lang=ru Symantec ---------- https://submit.symantec.com/false_positive/
×