В Google Play обнаружен новый вредонос, поразивший около миллиона устройств

Текущую неделю определенно нельзя назвать удачной для официальных магазинов приложений. Сначала китайские хакеры наводнили вирусами App Store, а теперь сложнейшее вредоносное приложение обнаружили в Google Play.

Обнаружили вирус, замаскированную под игру для тренировки мозга BrainTest, специалисты компании Check Point. Приложение публиковалось в Google Play дважды – первый раз 24 августа текущего года (приложение было удалено), а затем 15 сентября. По статистике магазина, «игру» установили 100 000-500 000 раз. По данным Check Point, пострадать могли до миллиона пользователей, передает xakep.ru.

Приложение использовало сразу ряд техник, чтобы избежать обнаружения и успешно пройти все проверки Google Play. В частности, BrainTest умело определять, не используется ли там, где оно запущено, IP или домен относящийся к Google Bouncer. В случае положительно ответа, приложение не проявляло никакой вредоносной активности, за счет чего и прошло все проверки магазина. Кроме того, малварь использовала техники timebomb, reflection, загрузку динамического кода и инструмент для обфускации кода, созданный компанией Baidu (что заставило экспертов предположить, что за атакой снова стоят китайские хакеры). Суммарно все это сделало реверс инжиниринг приложения весьма сложным. Эксперты уверяют, что BrainTest, это выход на новый уровень изощренности среди мобильных угроз.

Для повышения привилегий в системе, приложение использовало четыре эксплоита. Также злоумышленники применяли два системных приложения, неусыпно следивших за тем, чтобы BrainTest не удалили – они попросту восстанавливали удаленные компоненты малвари в системе. В итоге, избавиться от заразы окончательно можно только перепрошив устройство.

BrainTest состоял из двух частей: приложения, скачиваемого из Google Play (распакованное – com.mile.brain, запакованное – com.zmhitlte.brain ), и бекдора, который устанавливало первое приложение. Бекдор содержит два системных приложения: mcpef.apk и brother.apk, которые присматривают друг за другом, а также скачивают и выполняют любой код, какой им прикажут.

Приложение из Google Play содержало зашифрованный java-архив start.ogg. Он порождал расшифрованные файлы и отсылал запрос командному серверу, передавая злоумышленникам данные о конфигурации устройства. Ответ сервера включал в себя ссылку на файл jhfrte.jar, который осуществлял проверку на root и скачивал эксплоит, чтобы получить root-права. Затем jhfrte.jar скачивал с сервера mcpef.apk, которое устанавливалось как системное приложение.

mcpef.apk, в свою очередь, скачивало с сервера второе приложение — brother.apk, а также следило за тем, чтобы из системы не удалялись другие компоненты малвари и, в случае необходимости, их переустанавливало. Приложения brother.apk и mcpef.apk обладают одинаковой функциональностью, то есть оба могут восстановить вредоноса в системе.

«Если Google Bouncer не обнаружен, приложение запускало «часовую бомбу» (time bomb), которая инициировала передачу данных каждые два часа на 20 секунд. «Часовая бомба» приводила в действие распаковщик. Он расшифровывал файлы java-архива start.ogg и динамически загружал их методом «a.a.a.b», — поясняют специалисты Check Point.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Автор 2500 атак с применением шифровальщика REvil присел в США на 13 лет

Два дня назад в Техасе огласили приговор по делу о вымогательстве с помощью шифровальщика REvil. Решением суда 24-летний украинец Ярослав Васинский проведет за решеткой 13 лет и 7 месяцев, а также перечислит в казну свыше $16 млн в возмещение ущерба.

Согласно свидетельским показаниям, уроженец Украины, взяв в аренду REvil/Sodinokibi, провел более 2500 атак в разных странах. Общая сумма выкупа, который он требовал за дешифратор, превысила $700 миллионов.

Плату злоумышленник взимал в цифровой валюте и публиковал данные жертв, когда те отказывались выкупать заветный ключ. Он также использовал специализированные криптосервисы (миксеры), чтобы скрыть источник доходов.

В США Васинскому инкриминировали преступный сговор, мошенничество, нанесение вреда чужим компьютерам и отмывание денег. Задержали его в Польше, затем по договору об экстрадиции переправили за океан; свою вину украинец признал по всем вмененным эпизодам.

По данному делу проходит еще один фигурант — Евгений Полянин из России; найти его пока не удалось. В расследовании и оперативно-разыскных мероприятиях помимо американской стороны принимали участие Европол, Евроюст, правоохранители семи европейских стран, Канады, Австралии и Украины. Экспертную поддержку блюстителям правопорядка оказали Microsoft, Bitdefender и McAfee.

Напомним, в России тоже открыто и рассматривается дело о REvil (в рамках ч. 2 ст. 187 и ч. 2 ст. 273 УК РФ). Ответчиками числятся восемь человек — предположительно участники и главарь ОПГ. Поскольку сотрудничество ФСБ с американскими коллегами приостановилось, весомые свидетельства преступной деятельности получить не удалось.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru