Перейти к содержанию
hEx

«Мобильные» угрозы: начало коммерциализации

Recommended Posts

hEx

Я хочу :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Viktor
Я хочу :lol:

Эх, Денис, на что Вы меня подбиваете...

Ну хорошо, хотите - обсудим, появится чуток времени - выложу замечания, только одно условие - без обид ;)

P.S. Гостев главу про угрозы для мобильников читал?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
hEx
Эх, Денис, на что Вы меня подбиваете...

Ну хорошо, хотите - обсудим, появится чуток времени - выложу замечания, только одно условие - без обид ;)

P.S. Гостев главу про угрозы для мобильников читал?

С удовольствием выслушаю замечания и критику :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

"Лаборатория Касперского", ведущий производитель систем

защиты от вредоносного и нежелательного ПО, хакерских атак и спама,

сообщает об обнаружении новой модификации мобильного троянца

Trojan-SMS.J2ME.Konov.b, массово распространяющегося в социальной сети

"ВКонтакте". Эксперты отмечают, что это новый этап эволюции

распространения мобильного вредоносного программного обеспечения.

Троянская программа Trojan-SMS.J2ME.Konov хорошо известна экспертам, ее

сигнатуры были добавлены в антивирусные базы "Лаборатории

Касперского" в мае 2008 года. Новая версия отличается методом

распространения: для доставки мобильного вредоносного ПО вирусописатели

впервые задействовали социальную сеть.

Заражение данной троянской программой происходит по следующей схеме.

Войдя на сайт, пользователь "ВКонтакте" получает сообщение

от имени человека, внесенного в список друзей, с рассказом о возможности

бесплатно пополнить свой мобильный счет. В сообщении предлагается через

указанную ссылку скачать на мобильное устройство JAVA-программу, при

подключении к которой якобы произойдет пополнение мобильного счета

участника акции на сумму от 500 до 555 рублей.

На самом деле после установки указанного JAVA-приложения на мобильный

телефон и его запуска, троянская программа отправляет SMS-сообщение на

пять коротких премиум-номеров, списывая, таким образом, сумму за

отправленные сообщения со счета зараженного телефона. По данным

экспертов "Лаборатории Касперского", стоимость одного

SMS-сообщения, отсылаемого троянцем с инфицированного телефона,

составляет порядка 250 рублей. Префиксы сообщений и сами номера берутся

из manifest-файла, хранящегося внутри jar-архива. В ряде случаев

загрузка троянца сопровождается попыткой получить логин и пароль

пользователя сайта "ВКонтакте" через подложный сайт с

помощью фишинг-технологий. Получив такие данные, злоумышленники

рассылают спам от имени обманутого пользователя через его контакт-лист.

"С точки зрения программного кода, троянец не представляет собой

ничего принципиально нового, более того, Trojan-SMS.J2ME.Konov.b весьма

прост. Данный случай любопытен, прежде всего, как факт,

свидетельствующий о процессе изменения схем распространения мобильного

вредоносного ПО, - отмечает ведущий вирусный аналитик

"Лаборатории Касперского" Денис Масленников. - В

практике борьбы с вирусами и зловредным ПО ранее не было зафиксировано

случаев массовой спам-рассылки мобильных троянцев через социальные сети,

однако эксперты "Лаборатории Касперского" прогнозировали

подобное развитие событий еще в середине текущего года, выделяя

тенденцию активного развития мобильного вредоносного ПО".

Сигнатуры вредоносной программы Trojan-SMS.J2ME.Konov.b. были добавлены

в антивирусные базы "Лаборатории Касперского" 13 октября

2008 года.

"Лаборатория Касперского" напоминает, что киберпреступники

часто пытаются обмануть доверчивых пользователей, маскируясь под

известного жертве и пользующегося доверием отправителя. Гарантией

надежной защиты в таких случаях может служить лишь осторожность

пользователя и использование эффективных решений для защиты от

вредоносных программ и хакерских атак.

Viktor

У меня Моторолы (K3 и A1200) спрашивают, можно ли приложению работать с сетью. Умеет ли вредонос обходить это? Умеют ли вредоносы вообще обходить это?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Viktor
С удовольствием выслушаю замечания и критику :)

Денис, вот Вам парочка замечаний, читайте, переваривайте, делайте правильные выводы ;)

Довольно серьезные ляпы:

1 "Кроссплатформенность мобильных троянцев: под угрозой находятся любые телефоны, поддерживающие Java-приложения или имеющие интерпретатор языка Python"

К счастью, это не так

2. "Trojan-SMS опасны тем, что они являются кроссплатформенными программами. Если в телефоне (именно в телефоне, не обязательно в смартфоне) есть встроенная Java-машина, то на таком устройстве Trojan-SMS.J2ME сможет функционировать без всяких проблем"

И это тоже неверно

3. "Что касается Trojan-SMS.Python, то здесь идет речь о кроссплатформенности в сегменте смартфонов на базе OS Symbian. Если в телефоне (с любой версией ОС) имеется интерпретатор Python'а, то Trojan-SMS.Python сможет функционировать на любой из таких моделей"

Снова неверно

4. "Один из этих файлов и осуществляет отправку платного SMS-сообщения на короткий номер (естественно, не спрашивая разрешения владельца телефона об отправке и не уведомляя его о стоимости такого сообщения). Остальные class-файлы служат лишь для маскировки."

Для маскировки?! Попробуйте убрать любой из них - троян перестанет запускаться.

5. "Внутри архива может быть несколько картинок (в большинстве своем – эротического содержания), а также manifest-файл, который в некоторых случаях также используется вредоносной программой для отправки сообщений"

Как это "отправлять смс с помощью manifest-файла"?!

6. "Первое полугодие 2008 года выдалось интересным с точки зрения мобильных угроз, а точнее, одного из их видов: троянских программ, скрытно отправляющих платные SMS на короткие премиум-номера"

Что понимается под "скрытной отправкой"?! Если завтра тут появится человек, который скажет, что таких троянов не существует, то с определенными оговорками нам придется признать его правоту.

7. "Первое полугодие 2008 года характеризуется первым в истории вредоносного ПО значимым ростом вредоносных программ для мобильных телефонов, которые отправляют платные SMS-сообщения на короткие премиум-номера без ведома владельцев телефонов"

Аналогично

Замечания:

1. "Если говорить о J2ME-троянцах, то абсолютное большинство их имеют следующую структуру: jar-архив, в котором есть несколько class-файлов"

На самом деле не абсолютное большинство, а абсолютно все

2. "Сотовый оператор забирает себе от 45% до 49% от стоимости отправленной на короткий номер SMS, около 10% получает арендующий этот номер провайдер. Остальные деньги отправляются субарендатору - в данном случае <мобильному> мошеннику"

Цифры могут значительно отличаться от приведенных Вами, но в целом - да, самый большой процент получает оператор.

3. "Простота создания и распространения таких приложений может привести к дальнейшему росту вредоносных программ поведения Trojan-SMS во втором полугодии 2008 года"

Скромно как-то, с подстраховочкой. Можно писать, что безусловно приведет, более того, я абсолютно уверен, что во втором полугодии их количество возрастет в 4-5 раз, а в следующем году их будет в десятки раз больше, чем в этом.

3. "Известно, что сотовые операторы сдают короткие номера в аренду. Частному лицу арендовать такой номер слишком дорого."

Действительно дело в этом?!

4. "Фиксированное количество коротких номеров, которые используют мошенники"

Не думали почему?!

5. "Рост числа WAP-сайтов, на которых размещены такие троянские программы"

Было бы неплохо привести статистику

6. В настоящий момент насчитывается 9 семейств для платформы J2ME, 3 – для Symbian и 1 для Python.

Как-то уж больно нереалистично смотрится единичка рядом с Питоном

Да, и по приведенной в статье картинке видно, что в мае было задетектировано более 25ти новых J2ME-троянов, хотя по данным вируслиста и по моим личным наблюдениям их появилось около 10...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Viktor
Viktor

У меня Моторолы (K3 и A1200) спрашивают, можно ли приложению работать с сетью. Умеет ли вредонос обходить это?

Нет

Умеют ли вредоносы вообще обходить это?

Пока нет, но я не исключаю, что в жаве будут найдены новые дыры.

Возможно ли отключить эти запросы из стороннего кода?! Да, на некоторых платформах при определенных оговорках это сделать можно, но не из j2me-приложений.

однако эксперты «Лаборатории Касперского» прогнозировали подобное развитие событий еще в середине текущего года, выделяя тенденцию активного развития мобильного вредоносного ПО».

Мы это прогнозировали еще в 2004м...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Viktor

Тогда с текстом статьи - к авторам...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Viktor
Viktor

Тогда с текстом статьи - к авторам...

Umnik

автор это главы - hEx, если Вы еще не поняли ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
hEx
Денис, вот Вам парочка замечаний, читайте, переваривайте, делайте правильные выводы ;)

Довольно серьезные ляпы:

1 "Кроссплатформенность мобильных троянцев: под угрозой находятся любые телефоны, поддерживающие Java-приложения или имеющие интерпретатор языка Python"

К счастью, это не так

2. "Trojan-SMS опасны тем, что они являются кроссплатформенными программами. Если в телефоне (именно в телефоне, не обязательно в смартфоне) есть встроенная Java-машина, то на таком устройстве Trojan-SMS.J2ME сможет функционировать без всяких проблем"

И это тоже неверно

3. "Что касается Trojan-SMS.Python, то здесь идет речь о кроссплатформенности в сегменте смартфонов на базе OS Symbian. Если в телефоне (с любой версией ОС) имеется интерпретатор Python'а, то Trojan-SMS.Python сможет функционировать на любой из таких моделей"

Снова неверно

4. "Один из этих файлов и осуществляет отправку платного SMS-сообщения на короткий номер (естественно, не спрашивая разрешения владельца телефона об отправке и не уведомляя его о стоимости такого сообщения). Остальные class-файлы служат лишь для маскировки."

Для маскировки?! Попробуйте убрать любой из них - троян перестанет запускаться.

5. "Внутри архива может быть несколько картинок (в большинстве своем – эротического содержания), а также manifest-файл, который в некоторых случаях также используется вредоносной программой для отправки сообщений"

Как это "отправлять смс с помощью manifest-файла"?!

6. "Первое полугодие 2008 года выдалось интересным с точки зрения мобильных угроз, а точнее, одного из их видов: троянских программ, скрытно отправляющих платные SMS на короткие премиум-номера"

Что понимается под "скрытной отправкой"?! Если завтра тут появится человек, который скажет, что таких троянов не существует, то с определенными оговорками нам придется признать его правоту.

7. "Первое полугодие 2008 года характеризуется первым в истории вредоносного ПО значимым ростом вредоносных программ для мобильных телефонов, которые отправляют платные SMS-сообщения на короткие премиум-номера без ведома владельцев телефонов"

Аналогично

Замечания:

1. "Если говорить о J2ME-троянцах, то абсолютное большинство их имеют следующую структуру: jar-архив, в котором есть несколько class-файлов"

На самом деле не абсолютное большинство, а абсолютно все

2. "Сотовый оператор забирает себе от 45% до 49% от стоимости отправленной на короткий номер SMS, около 10% получает арендующий этот номер провайдер. Остальные деньги отправляются субарендатору - в данном случае <мобильному> мошеннику"

Цифры могут значительно отличаться от приведенных Вами, но в целом - да, самый большой процент получает оператор.

3. "Простота создания и распространения таких приложений может привести к дальнейшему росту вредоносных программ поведения Trojan-SMS во втором полугодии 2008 года"

Скромно как-то, с подстраховочкой. Можно писать, что безусловно приведет, более того, я абсолютно уверен, что во втором полугодии их количество возрастет в 4-5 раз, а в следующем году их будет в десятки раз больше, чем в этом.

3. "Известно, что сотовые операторы сдают короткие номера в аренду. Частному лицу арендовать такой номер слишком дорого."

Действительно дело в этом?!

4. "Фиксированное количество коротких номеров, которые используют мошенники"

Не думали почему?!

5. "Рост числа WAP-сайтов, на которых размещены такие троянские программы"

Было бы неплохо привести статистику

6. В настоящий момент насчитывается 9 семейств для платформы J2ME, 3 – для Symbian и 1 для Python.

Как-то уж больно нереалистично смотрится единичка рядом с Питоном

Да, и по приведенной в статье картинке видно, что в мае было задетектировано более 25ти новых J2ME-троянов, хотя по данным вируслиста и по моим личным наблюдениям их появилось около 10...

По поводу ляпов:

1. М.б. и не любые, но на моей простенькой Motorol'e L7 Trojan-SMS.J2ME.Konov.b запустился безо всяких проблем.

2. Почему же? Просветите незнающего человека

3. Для 9 неверно?

4. Проверю обязательно:)

5. Как это было, например в Trojan-SMS.J2ME.Konov.b - в class'е не было номеров для отправки, они брались из manifest'а с помощью getAppProperty.

По поводу замечаний:

1. Вот здесь вы в корне не правы. В Trojan-SMS.J2ME.Konov.b (да и не только в нем) внутри джара всего 1 class файл, однако он работает прекрасно

2. -

3. Не только

4. Думал - потому что арендуют самые дорогие:)

5. Пока ее нет, к сожалению

6. Мы знаем одно семейство, и на то есть своя причина, причем очень интересная. Подробности - позже.

Мы это прогнозировали еще в 2004м...

А начало выливаться все это в этом году:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Viktor

OK, я постараюсь обсудить замечания при личной встрече с авторами

Отредактировал Viktor

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×