В Google Play обнаружен новый вредонос, поразивший около миллиона устройств

В Google Play обнаружен новый вредонос, поразивший около миллиона устройств

Текущую неделю определенно нельзя назвать удачной для официальных магазинов приложений. Сначала китайские хакеры наводнили вирусами App Store, а теперь сложнейшее вредоносное приложение обнаружили в Google Play.

Обнаружили вирус, замаскированную под игру для тренировки мозга BrainTest, специалисты компании Check Point. Приложение публиковалось в Google Play дважды – первый раз 24 августа текущего года (приложение было удалено), а затем 15 сентября. По статистике магазина, «игру» установили 100 000-500 000 раз. По данным Check Point, пострадать могли до миллиона пользователей, передает xakep.ru.

Приложение использовало сразу ряд техник, чтобы избежать обнаружения и успешно пройти все проверки Google Play. В частности, BrainTest умело определять, не используется ли там, где оно запущено, IP или домен относящийся к Google Bouncer. В случае положительно ответа, приложение не проявляло никакой вредоносной активности, за счет чего и прошло все проверки магазина. Кроме того, малварь использовала техники timebomb, reflection, загрузку динамического кода и инструмент для обфускации кода, созданный компанией Baidu (что заставило экспертов предположить, что за атакой снова стоят китайские хакеры). Суммарно все это сделало реверс инжиниринг приложения весьма сложным. Эксперты уверяют, что BrainTest, это выход на новый уровень изощренности среди мобильных угроз.

Для повышения привилегий в системе, приложение использовало четыре эксплоита. Также злоумышленники применяли два системных приложения, неусыпно следивших за тем, чтобы BrainTest не удалили – они попросту восстанавливали удаленные компоненты малвари в системе. В итоге, избавиться от заразы окончательно можно только перепрошив устройство.

BrainTest состоял из двух частей: приложения, скачиваемого из Google Play (распакованное – com.mile.brain, запакованное – com.zmhitlte.brain ), и бекдора, который устанавливало первое приложение. Бекдор содержит два системных приложения: mcpef.apk и brother.apk, которые присматривают друг за другом, а также скачивают и выполняют любой код, какой им прикажут.

Приложение из Google Play содержало зашифрованный java-архив start.ogg. Он порождал расшифрованные файлы и отсылал запрос командному серверу, передавая злоумышленникам данные о конфигурации устройства. Ответ сервера включал в себя ссылку на файл jhfrte.jar, который осуществлял проверку на root и скачивал эксплоит, чтобы получить root-права. Затем jhfrte.jar скачивал с сервера mcpef.apk, которое устанавливалось как системное приложение.

mcpef.apk, в свою очередь, скачивало с сервера второе приложение — brother.apk, а также следило за тем, чтобы из системы не удалялись другие компоненты малвари и, в случае необходимости, их переустанавливало. Приложения brother.apk и mcpef.apk обладают одинаковой функциональностью, то есть оба могут восстановить вредоноса в системе.

«Если Google Bouncer не обнаружен, приложение запускало «часовую бомбу» (time bomb), которая инициировала передачу данных каждые два часа на 20 секунд. «Часовая бомба» приводила в действие распаковщик. Он расшифровывал файлы java-архива start.ogg и динамически загружал их методом «a.a.a.b», — поясняют специалисты Check Point.

Новые AirTag всё ещё легко превратить в инструмент скрытой слежки

Исследователь и техноблогер Адриан Кингсли-Хьюз решил проверить, изменила ли Apple что-нибудь в защите AirTag от физического вмешательства. По его словам, новые версии трекеров по-прежнему крайне легко модифицировать, а самую популярную «доработку» — отключение встроенного динамика — можно выполнить буквально за пару минут.

Кингсли-Хьюз признаётся, что сам активно использует AirTag и считает их лучшими Bluetooth-метками на рынке: они не раз спасали его от потерянных ключей и лишних нервов в поездках.

Но у этой медали есть и обратная сторона. Несмотря на меры Apple и Google против слежки, на рынке по-прежнему массово продаются модифицированные трекеры, чаще всего с отключённым динамиком. А «тихий» AirTag гораздо проще использовать для скрытого отслеживания людей.

Чтобы проверить, усложнила ли Apple жизнь таким умельцам, исследователь купил упаковку новых AirTag и вскрыл один из них, причём намеренно без специальных инструментов — только с обычным спуджером.

 

Результат оказался показателен: корпус поддался без особых усилий, динамик был выведен из строя за считаные минуты, а сам трекер затем так же легко собрался обратно. После установки батарейки AirTag «ожил» — полностью рабочий, но уже без звука.

 

Весь процесс, от распаковки до финального теста, занял около двух минут. По словам Кингсли-Хьюза, новые AirTag не только не стали сложнее для вскрытия, но субъективно ощущаются даже более «дружелюбными» к разбору, чем предыдущие версии.

 

При этом он отмечает, что Apple всё ещё может закрыть эту лазейку программно. Например, через обновление прошивки, которое будет отслеживать ток на динамике и определять ситуацию, когда звук должен воспроизводиться, но физически этого не происходит. В таком случае модифицированные AirTag можно было бы автоматически блокировать или выводить из строя.

RSS: Новости на портале Anti-Malware.ru