В Китае обнаружен ботнет из 140 тысяч Android-устройств

В Китае обнаружен ботнет из 140 тысяч Android-устройств

Пользователи двух крупнейших операторов сотовой связи Китая оказались жертвами троянской программы, которая объединила их в ботнет рекордного размера. По мнению экспертов Symantec, размер этого ботнета может достигать сотен тысяч (!) устройств под управлением операционной системы Android.



Специалисты Symantec узнали о вредоносной программе RootSmart, которая распространяется в альтернативных китайских каталогах программного обеспечения. В официальном Android Market такого пока не обнаружено. Программа RootSmart устанавливается вместе с обычными программами из каталога, но при этом передаёт на удалённый сервер информацию о заражённом устройстве: номер IMEI, номер IMSI, ID соты, location area code и код мобильной сети, передает xakep.ru.

Логотип ярлыка для программы RootSmart схож с логотипом ярлыка «Настройки». RootSmart является второй программой после GingerMaster, которая применила на практике известный рут-эксплоит GingerBreak (для Android OS младше 2.3.3 и для 3.0).

В отличие от своего предшественника, RootSmart не идёт в комплекте с рут-эксплоитом, а подгружает GingerBreak с удалённого сервера после установки и запускает на исполнение с целью повышения привилегий. Рут-эксплоит идёт в архиве shells.zip в комплекте с двумя вспомогательными скриптами для установки в системную область.

Данная возможность ранее теоретически была описана для Android-устройств исследователем Джоном Оберхейде, который для демонстрации дыры написал демо-программу RootStrap.

После рутования телефона программа подгружает с удалённого сервера программу DroidLive, которая выполняет роль средства удалённого администрирования и выполняет команды с сервера C&C. Таким образом, телефон становится частью ботнета.

На рутованном телефоне хозяин ботнета может инициировать любые действия. По словам китайских исследователей, они уже видели, что программа для удалённого управления посылает SMS, блокирует входящие SMS, записывает информацию об исходящих вызовах (включая номер телефона и продолжительность звонка), инициирует собственные телефонные вызовы. Программа также способна менять адрес командного сервера, самостоятельно подключаться к интернету и передавать данные. По словам исследователей, самое опасное то, что она передаёт большие объёмы данных в сторону C&C, так что есть риск утечки приватных данных немалого количества пользователей.

Если рутование не удаётся, RootSmart всё равно пытается скачать и установить программы для удалённого управления телефоном, но он уже не может это сделать незаметно для пользователя. В данном случае пользователь должен сам выдать разрешения программам, и тогда телефон тоже станет частью ботнета.

Специалисты Symantec решили исследовать, насколько велик размер ботнета, созданного благодаря программе RootSmart (ботнет получил название Android.Bmaster). Они проанализировали трафик на C&C-серверах и пришли к выводу, что ботнет действует с сентября 2011 года, а количество активных инфицированных устройств варьируется от 110 тыс. до 140 тыс. в день. От 10 тыс. до 30 тыс. телефонов в день использовались для отправки платных SMS и звонков на платные номера. По оценкам специалистов, ботнет генерировал своим хозяевам от $1600 до $9000 в сутки.

Flickr предупредил об утечке данных пользователей сервиса

Flickr предупредил пользователей о возможной утечке данных, связанной с уязвимостью у стороннего почтового провайдера. Из-за проблемы третьей стороны посторонние могли получить доступ к персональной информации части пользователей сервиса. Как сообщили в компании, об уязвимости стало известно 5 февраля 2026 года.

После уведомления Flickr в течение нескольких часов отключил доступ к затронутой системе. При этом сервис подчеркивает: пароли и данные банковских карт затронуты не были.

Тем не менее потенциально скомпрометированными могли оказаться реальные имена пользователей, адреса электронной почты, логины Flickr, типы аккаунтов, IP-адреса, обобщенные данные о местоположении, а также информация об активности на платформе.

Какой именно почтовый сервис стал источником проблемы и сколько пользователей затронул инцидент, в Flickr не уточнили.

В письмах пользователям компания рекомендует проверить настройки аккаунта на предмет подозрительных изменений и быть особенно внимательными к фишинговым письмам.

Flickr отдельно напоминает, что никогда не запрашивает пароли по электронной почте. Тем, кто использовал тот же пароль на других сервисах, советуют как можно скорее его сменить.

«Мы искренне сожалеем о произошедшем и о беспокойстве, которое могла вызвать ситуация», — отметили представители Flickr.

В компании также заявили, что уже проводят внутреннее расследование, усиливают архитектуру защиты и пересматривают подходы к контролю безопасности сторонних поставщиков.

Flickr существует с 2004 года и остается одной из крупнейших фотоплатформ в мире: сервис хранит десятки миллиардов фотографий и видео, а ежемесячная аудитория составляет около 35 млн пользователей.

RSS: Новости на портале Anti-Malware.ru