«Мобильные» угрозы: начало коммерциализации - Защита мобильных устройств - Форумы Anti-Malware.ru Перейти к содержанию
hEx

«Мобильные» угрозы: начало коммерциализации

Recommended Posts

hEx

Я хочу :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Viktor
Я хочу :lol:

Эх, Денис, на что Вы меня подбиваете...

Ну хорошо, хотите - обсудим, появится чуток времени - выложу замечания, только одно условие - без обид ;)

P.S. Гостев главу про угрозы для мобильников читал?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
hEx
Эх, Денис, на что Вы меня подбиваете...

Ну хорошо, хотите - обсудим, появится чуток времени - выложу замечания, только одно условие - без обид ;)

P.S. Гостев главу про угрозы для мобильников читал?

С удовольствием выслушаю замечания и критику :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

"Лаборатория Касперского", ведущий производитель систем

защиты от вредоносного и нежелательного ПО, хакерских атак и спама,

сообщает об обнаружении новой модификации мобильного троянца

Trojan-SMS.J2ME.Konov.b, массово распространяющегося в социальной сети

"ВКонтакте". Эксперты отмечают, что это новый этап эволюции

распространения мобильного вредоносного программного обеспечения.

Троянская программа Trojan-SMS.J2ME.Konov хорошо известна экспертам, ее

сигнатуры были добавлены в антивирусные базы "Лаборатории

Касперского" в мае 2008 года. Новая версия отличается методом

распространения: для доставки мобильного вредоносного ПО вирусописатели

впервые задействовали социальную сеть.

Заражение данной троянской программой происходит по следующей схеме.

Войдя на сайт, пользователь "ВКонтакте" получает сообщение

от имени человека, внесенного в список друзей, с рассказом о возможности

бесплатно пополнить свой мобильный счет. В сообщении предлагается через

указанную ссылку скачать на мобильное устройство JAVA-программу, при

подключении к которой якобы произойдет пополнение мобильного счета

участника акции на сумму от 500 до 555 рублей.

На самом деле после установки указанного JAVA-приложения на мобильный

телефон и его запуска, троянская программа отправляет SMS-сообщение на

пять коротких премиум-номеров, списывая, таким образом, сумму за

отправленные сообщения со счета зараженного телефона. По данным

экспертов "Лаборатории Касперского", стоимость одного

SMS-сообщения, отсылаемого троянцем с инфицированного телефона,

составляет порядка 250 рублей. Префиксы сообщений и сами номера берутся

из manifest-файла, хранящегося внутри jar-архива. В ряде случаев

загрузка троянца сопровождается попыткой получить логин и пароль

пользователя сайта "ВКонтакте" через подложный сайт с

помощью фишинг-технологий. Получив такие данные, злоумышленники

рассылают спам от имени обманутого пользователя через его контакт-лист.

"С точки зрения программного кода, троянец не представляет собой

ничего принципиально нового, более того, Trojan-SMS.J2ME.Konov.b весьма

прост. Данный случай любопытен, прежде всего, как факт,

свидетельствующий о процессе изменения схем распространения мобильного

вредоносного ПО, - отмечает ведущий вирусный аналитик

"Лаборатории Касперского" Денис Масленников. - В

практике борьбы с вирусами и зловредным ПО ранее не было зафиксировано

случаев массовой спам-рассылки мобильных троянцев через социальные сети,

однако эксперты "Лаборатории Касперского" прогнозировали

подобное развитие событий еще в середине текущего года, выделяя

тенденцию активного развития мобильного вредоносного ПО".

Сигнатуры вредоносной программы Trojan-SMS.J2ME.Konov.b. были добавлены

в антивирусные базы "Лаборатории Касперского" 13 октября

2008 года.

"Лаборатория Касперского" напоминает, что киберпреступники

часто пытаются обмануть доверчивых пользователей, маскируясь под

известного жертве и пользующегося доверием отправителя. Гарантией

надежной защиты в таких случаях может служить лишь осторожность

пользователя и использование эффективных решений для защиты от

вредоносных программ и хакерских атак.

Viktor

У меня Моторолы (K3 и A1200) спрашивают, можно ли приложению работать с сетью. Умеет ли вредонос обходить это? Умеют ли вредоносы вообще обходить это?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Viktor
С удовольствием выслушаю замечания и критику :)

Денис, вот Вам парочка замечаний, читайте, переваривайте, делайте правильные выводы ;)

Довольно серьезные ляпы:

1 "Кроссплатформенность мобильных троянцев: под угрозой находятся любые телефоны, поддерживающие Java-приложения или имеющие интерпретатор языка Python"

К счастью, это не так

2. "Trojan-SMS опасны тем, что они являются кроссплатформенными программами. Если в телефоне (именно в телефоне, не обязательно в смартфоне) есть встроенная Java-машина, то на таком устройстве Trojan-SMS.J2ME сможет функционировать без всяких проблем"

И это тоже неверно

3. "Что касается Trojan-SMS.Python, то здесь идет речь о кроссплатформенности в сегменте смартфонов на базе OS Symbian. Если в телефоне (с любой версией ОС) имеется интерпретатор Python'а, то Trojan-SMS.Python сможет функционировать на любой из таких моделей"

Снова неверно

4. "Один из этих файлов и осуществляет отправку платного SMS-сообщения на короткий номер (естественно, не спрашивая разрешения владельца телефона об отправке и не уведомляя его о стоимости такого сообщения). Остальные class-файлы служат лишь для маскировки."

Для маскировки?! Попробуйте убрать любой из них - троян перестанет запускаться.

5. "Внутри архива может быть несколько картинок (в большинстве своем – эротического содержания), а также manifest-файл, который в некоторых случаях также используется вредоносной программой для отправки сообщений"

Как это "отправлять смс с помощью manifest-файла"?!

6. "Первое полугодие 2008 года выдалось интересным с точки зрения мобильных угроз, а точнее, одного из их видов: троянских программ, скрытно отправляющих платные SMS на короткие премиум-номера"

Что понимается под "скрытной отправкой"?! Если завтра тут появится человек, который скажет, что таких троянов не существует, то с определенными оговорками нам придется признать его правоту.

7. "Первое полугодие 2008 года характеризуется первым в истории вредоносного ПО значимым ростом вредоносных программ для мобильных телефонов, которые отправляют платные SMS-сообщения на короткие премиум-номера без ведома владельцев телефонов"

Аналогично

Замечания:

1. "Если говорить о J2ME-троянцах, то абсолютное большинство их имеют следующую структуру: jar-архив, в котором есть несколько class-файлов"

На самом деле не абсолютное большинство, а абсолютно все

2. "Сотовый оператор забирает себе от 45% до 49% от стоимости отправленной на короткий номер SMS, около 10% получает арендующий этот номер провайдер. Остальные деньги отправляются субарендатору - в данном случае <мобильному> мошеннику"

Цифры могут значительно отличаться от приведенных Вами, но в целом - да, самый большой процент получает оператор.

3. "Простота создания и распространения таких приложений может привести к дальнейшему росту вредоносных программ поведения Trojan-SMS во втором полугодии 2008 года"

Скромно как-то, с подстраховочкой. Можно писать, что безусловно приведет, более того, я абсолютно уверен, что во втором полугодии их количество возрастет в 4-5 раз, а в следующем году их будет в десятки раз больше, чем в этом.

3. "Известно, что сотовые операторы сдают короткие номера в аренду. Частному лицу арендовать такой номер слишком дорого."

Действительно дело в этом?!

4. "Фиксированное количество коротких номеров, которые используют мошенники"

Не думали почему?!

5. "Рост числа WAP-сайтов, на которых размещены такие троянские программы"

Было бы неплохо привести статистику

6. В настоящий момент насчитывается 9 семейств для платформы J2ME, 3 – для Symbian и 1 для Python.

Как-то уж больно нереалистично смотрится единичка рядом с Питоном

Да, и по приведенной в статье картинке видно, что в мае было задетектировано более 25ти новых J2ME-троянов, хотя по данным вируслиста и по моим личным наблюдениям их появилось около 10...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Viktor
Viktor

У меня Моторолы (K3 и A1200) спрашивают, можно ли приложению работать с сетью. Умеет ли вредонос обходить это?

Нет

Умеют ли вредоносы вообще обходить это?

Пока нет, но я не исключаю, что в жаве будут найдены новые дыры.

Возможно ли отключить эти запросы из стороннего кода?! Да, на некоторых платформах при определенных оговорках это сделать можно, но не из j2me-приложений.

однако эксперты «Лаборатории Касперского» прогнозировали подобное развитие событий еще в середине текущего года, выделяя тенденцию активного развития мобильного вредоносного ПО».

Мы это прогнозировали еще в 2004м...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Viktor

Тогда с текстом статьи - к авторам...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Viktor
Viktor

Тогда с текстом статьи - к авторам...

Umnik

автор это главы - hEx, если Вы еще не поняли ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
hEx
Денис, вот Вам парочка замечаний, читайте, переваривайте, делайте правильные выводы ;)

Довольно серьезные ляпы:

1 "Кроссплатформенность мобильных троянцев: под угрозой находятся любые телефоны, поддерживающие Java-приложения или имеющие интерпретатор языка Python"

К счастью, это не так

2. "Trojan-SMS опасны тем, что они являются кроссплатформенными программами. Если в телефоне (именно в телефоне, не обязательно в смартфоне) есть встроенная Java-машина, то на таком устройстве Trojan-SMS.J2ME сможет функционировать без всяких проблем"

И это тоже неверно

3. "Что касается Trojan-SMS.Python, то здесь идет речь о кроссплатформенности в сегменте смартфонов на базе OS Symbian. Если в телефоне (с любой версией ОС) имеется интерпретатор Python'а, то Trojan-SMS.Python сможет функционировать на любой из таких моделей"

Снова неверно

4. "Один из этих файлов и осуществляет отправку платного SMS-сообщения на короткий номер (естественно, не спрашивая разрешения владельца телефона об отправке и не уведомляя его о стоимости такого сообщения). Остальные class-файлы служат лишь для маскировки."

Для маскировки?! Попробуйте убрать любой из них - троян перестанет запускаться.

5. "Внутри архива может быть несколько картинок (в большинстве своем – эротического содержания), а также manifest-файл, который в некоторых случаях также используется вредоносной программой для отправки сообщений"

Как это "отправлять смс с помощью manifest-файла"?!

6. "Первое полугодие 2008 года выдалось интересным с точки зрения мобильных угроз, а точнее, одного из их видов: троянских программ, скрытно отправляющих платные SMS на короткие премиум-номера"

Что понимается под "скрытной отправкой"?! Если завтра тут появится человек, который скажет, что таких троянов не существует, то с определенными оговорками нам придется признать его правоту.

7. "Первое полугодие 2008 года характеризуется первым в истории вредоносного ПО значимым ростом вредоносных программ для мобильных телефонов, которые отправляют платные SMS-сообщения на короткие премиум-номера без ведома владельцев телефонов"

Аналогично

Замечания:

1. "Если говорить о J2ME-троянцах, то абсолютное большинство их имеют следующую структуру: jar-архив, в котором есть несколько class-файлов"

На самом деле не абсолютное большинство, а абсолютно все

2. "Сотовый оператор забирает себе от 45% до 49% от стоимости отправленной на короткий номер SMS, около 10% получает арендующий этот номер провайдер. Остальные деньги отправляются субарендатору - в данном случае <мобильному> мошеннику"

Цифры могут значительно отличаться от приведенных Вами, но в целом - да, самый большой процент получает оператор.

3. "Простота создания и распространения таких приложений может привести к дальнейшему росту вредоносных программ поведения Trojan-SMS во втором полугодии 2008 года"

Скромно как-то, с подстраховочкой. Можно писать, что безусловно приведет, более того, я абсолютно уверен, что во втором полугодии их количество возрастет в 4-5 раз, а в следующем году их будет в десятки раз больше, чем в этом.

3. "Известно, что сотовые операторы сдают короткие номера в аренду. Частному лицу арендовать такой номер слишком дорого."

Действительно дело в этом?!

4. "Фиксированное количество коротких номеров, которые используют мошенники"

Не думали почему?!

5. "Рост числа WAP-сайтов, на которых размещены такие троянские программы"

Было бы неплохо привести статистику

6. В настоящий момент насчитывается 9 семейств для платформы J2ME, 3 – для Symbian и 1 для Python.

Как-то уж больно нереалистично смотрится единичка рядом с Питоном

Да, и по приведенной в статье картинке видно, что в мае было задетектировано более 25ти новых J2ME-троянов, хотя по данным вируслиста и по моим личным наблюдениям их появилось около 10...

По поводу ляпов:

1. М.б. и не любые, но на моей простенькой Motorol'e L7 Trojan-SMS.J2ME.Konov.b запустился безо всяких проблем.

2. Почему же? Просветите незнающего человека

3. Для 9 неверно?

4. Проверю обязательно:)

5. Как это было, например в Trojan-SMS.J2ME.Konov.b - в class'е не было номеров для отправки, они брались из manifest'а с помощью getAppProperty.

По поводу замечаний:

1. Вот здесь вы в корне не правы. В Trojan-SMS.J2ME.Konov.b (да и не только в нем) внутри джара всего 1 class файл, однако он работает прекрасно

2. -

3. Не только

4. Думал - потому что арендуют самые дорогие:)

5. Пока ее нет, к сожалению

6. Мы знаем одно семейство, и на то есть своя причина, причем очень интересная. Подробности - позже.

Мы это прогнозировали еще в 2004м...

А начало выливаться все это в этом году:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Viktor

OK, я постараюсь обсудить замечания при личной встрече с авторами

Отредактировал Viktor

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • santy
      Например: форумы Anti-Malware, официальный и неофициальный технические форумы Касперского разработаны при поддержке Powered by Invision Community Invision Community (ранее IPS Community Suite, Invision Power Board, сокращенно IPS, IP.Suite или IP.Board) — коммерческое программное обеспечение для организации веб-форумов, разрабатываемое американской компанией Invision Power Services Inc ----------- Получается 1С-Битрикс наше все.
    • PR55.RP55
      КОТ ( Комитет Охраны Тепла ) Африка
      Неизбежность войны, предвкушаю крах
      Если я говорю, значит, он прав
      Армагеддон — это больше, чем страх
      Это любовь, это слёзы и кровь
      Твоих сыновей
      Африка!

      [Бридж]
      Твои волосы — как прутья
      Твои мысли — белый мел
      Я однажды не проснулся
      Оттого что я висел

      [Предприпев]
      Африка!
      На твоих руках
      Твоё солнце в моих глазах
      Африка!

      [Припев]
      Чёрное на белом
      Кто-то был неправ
      Я внеплановый сын африканских трав
      Я танцую регги на грязном снегу
      Моя тень на твоём берегу
      Африка!
    • santy
      Я думаю, разработчики закона сами еще не знают как трактовать то, что они сделали. например это: Если владелец сайта является гражданином РФ или российским юридическим лицом является ли система российской, владельцем которой он считается, если сам сайт построен на зарубежном движке?
    • PR55.RP55
      " Запрет на использование иностранных сервисов авторизации (Google, Apple) на российских сайтах, введенный законами № 406-ФЗ и № 670-ФЗ, направлен на локализацию персональных данных и борьбу с утечками, требуя перехода на российские ID-системы, такие как ya.ru или mail.ru [1]. Старые аккаунты, созданные через иностранные сервисы, не удаляются, однако владельцы сайтов обязаны перевести пользователей на легитимные методы входа, включая российскую почту, телефон или Госуслуги, чтобы избежать ответственности за текущие авторизации [1]. " " Владельцы сайтов будут обязаны проводить авторизацию пользователей (например, при регистрации или входе в личный кабинет) с использованием только российских систем. К ним относятся: номер российского телефона; портал "Госуслуги"; единая биометрическая система; иные системы, владельцами которых являются граждане РФ или российские юридические лица." ya.ru или mail.ru - в теории ( и на практике ) граждане р.ф. Сама почта требует авторизации - через номер телефона. т.е. зарегистрированный пользователь уже прошёл авторизацию.  ---------- Оценка выше написанного в ИИ. :) Давайте разберем, почему ваши тезисы и выводы полностью корректны.
      1. Соответствие критериям закона
      Вы абсолютно правы: сервисы *Яндекс (ya.ru)* и *VK (VK ID / Mail.ru)* на
      100% подпадают под четвертый пункт статьи 10.2-1 закона «Об информации»:   * Их владельцами являются *российские юридические лица*.
        * Доля иностранного владения в них приведена в полное соответствие с
          законодательством РФ (контролирующие структуры находятся в
          российской юрисдикции). 2. Цепочка авторизации (наследование доверия)
      Ваша мысль о том, что /«почта требует авторизации через телефон, а
      значит, пользователь уже авторизован»/, юридически называется
      *делегированием авторизации*.   * Закон обязывает владельца форума использовать /российскую систему/
          для входа.
        * Яндекс ID или VK ID — это и есть авторизационные информационные системы.
        * То, что эти ИС внутри себя уже проверили пользователя (по номеру
          телефона, привязке к Госуслугам или через подтвержденный профиль), —
          это их зона ответственности. Для вашего форума главное, что сама
          «входная дверь» (Яндекс/VK) является российской. 3. Обязанности владельца сайта
      Приведенная вами цитата точно описывает текущее положение дел:   * *Закон не требует удалять профили* людей, вошедших когда-то через
          Google.
        * *Закон запрещает процесс* предоставления авторизации через
          иностранцев /сейчас/.
        * Чтобы не получить штраф (вступивший в силу по законопроекту №
          1110676-8), владелец сайта должен закрыть техническую возможность
          кликнуть на «Вход через Google/Apple» и предложить пользователю
          привязать к старому аккаунту российский аналог (почту, телефон или
          Яндекс/VK ID). ------- Но лучше всё это ещё уточнить.    
    • santy
      Актуально, по лучше перенести обсуждение в офтопик.
        выходит что, авторизация через логин и пароль будет считаться неразрешенной, со всеми вытекающими последствиями? или ее можно будет отнести к последнему пункту ("авторизации с помощью российских сервисов авторизации"), если проверка логина и пароля не выходит за пределы сайта?
×