Опасный троянец скрывается в официальной Android-прошивке

Опасный троянец скрывается в официальной Android-прошивке

Обычно для заражения Android-смартфонов и планшетов злоумышленники прибегают к весьма тривиальному способу: используя различные приемы социальной инженерии, они просто-напросто обманом заставляют своих жертв самостоятельно выполнить установку того или иного вредоносного приложения.

Однако данная методика – не единственная в арсенале вирусописателей. Так, специалисты компании «Доктор Веб» продолжают отмечать случаи, когда Android-троянцы уже предустановлены на мобильные устройства в качестве системных приложений и незаметно для их владельцев осуществляют вредоносную деятельность. Очередной такой инцидент, «героем» которого стал бэкдор Android.Backdoor.114.origin, был зафиксирован нашими вирусными аналитиками совсем недавно, пишет drweb.ru.

Само вредоносное приложение Android.Backdoor.114.origin уже известно специалистам «Доктор Веб»: первые случаи его применения киберпреступниками были зафиксированы больше года назад, и с тех пор данный троянец уже не раз становился настоящей головной болью для пользователей. Дело в том, что этот бэкдор внедряется неустановленными злоумышленниками непосредственно в прошивку мобильных устройств и, соответственно, функционирует в качестве системного приложения. Как результат – удаление троянца стандартными способами становится практически неосуществимым: пользователю требуются либо root-привилегии, получить которые не всегда возможно, а зачастую даже опасно, либо установка заведомо «чистого» образа операционной системы с последующей потерей всех имеющихся данных, для которых не была создана резервная копия.

Об очередном случае заражения мобильных устройств пользователей троянцем Android.Backdoor.114.origin вирусным аналитикам «Доктор Веб» стало известно в середине сентября. В частности, новыми жертвами бэкдора стали владельцы Android-планшета Oysters T104 HVi 3G, на котором вредоносная программа скрывается в предустановленном приложении c именем GoogleQuickSearchBox.apk. Производитель данной модели был уведомлен о наличии проблемы, однако на момент публикации этого материала доступная для загрузки официальная версия прошивки аппарата не претерпела никаких изменений и по-прежнему содержит в себе бэкдор.

Android.Backdoor.114.origin собирает и отправляет на управляющий сервер широкий спектр информации о зараженном устройстве. В зависимости от своей модификации, он может передавать злоумышленникам следующие сведения:

  • уникальный идентификатор устройства;
  • MAC-адрес Bluetooth-передатчика;
  • тип зараженного устройства (смартфон или планшет);
  • параметры из конфигурационного файла троянца;
  • MAC-адрес устройства;
  • IMSI-идентификатор;
  • версию вредоносного приложения;
  • версию операционной системы;
  • версию API операционной системы;
  • тип сетевого подключения;
  • название программного пакета троянца;
  • идентификатор страны;
  • разрешение экрана;
  • название производителя устройства;
  • название устройства;
  • объем занятого места на SD-карте;
  • доступный объем памяти на SD-карте;
  • объем занятого места во внутренней памяти устройства;
  • доступный объем внутренней памяти устройства;
  • список установленных приложений в системном каталоге;
  • список приложений, установленных пользователем.

Однако основное предназначение Android.Backdoor.114.origin – незаметная загрузка, установка и удаление приложений по команде управляющего сервера. Примечательно, что троянец способен самостоятельно активировать отключенную опцию установки ПО из непроверенных источников, если данная функция изначально была неактивна. В результате, даже если владелец зараженного устройства соблюдает рекомендованные меры безопасности, это ему не поможет, т. к. бэкдор все равно изменит соответствующие настройки и сможет незаметно инсталлировать всевозможные рекламные, нежелательные и откровенно опасные вредоносные программы.

Новые AirTag всё ещё легко превратить в инструмент скрытой слежки

Исследователь и техноблогер Адриан Кингсли-Хьюз решил проверить, изменила ли Apple что-нибудь в защите AirTag от физического вмешательства. По его словам, новые версии трекеров по-прежнему крайне легко модифицировать, а самую популярную «доработку» — отключение встроенного динамика — можно выполнить буквально за пару минут.

Кингсли-Хьюз признаётся, что сам активно использует AirTag и считает их лучшими Bluetooth-метками на рынке: они не раз спасали его от потерянных ключей и лишних нервов в поездках.

Но у этой медали есть и обратная сторона. Несмотря на меры Apple и Google против слежки, на рынке по-прежнему массово продаются модифицированные трекеры, чаще всего с отключённым динамиком. А «тихий» AirTag гораздо проще использовать для скрытого отслеживания людей.

Чтобы проверить, усложнила ли Apple жизнь таким умельцам, исследователь купил упаковку новых AirTag и вскрыл один из них, причём намеренно без специальных инструментов — только с обычным спуджером.

 

Результат оказался показателен: корпус поддался без особых усилий, динамик был выведен из строя за считаные минуты, а сам трекер затем так же легко собрался обратно. После установки батарейки AirTag «ожил» — полностью рабочий, но уже без звука.

 

Весь процесс, от распаковки до финального теста, занял около двух минут. По словам Кингсли-Хьюза, новые AirTag не только не стали сложнее для вскрытия, но субъективно ощущаются даже более «дружелюбными» к разбору, чем предыдущие версии.

 

При этом он отмечает, что Apple всё ещё может закрыть эту лазейку программно. Например, через обновление прошивки, которое будет отслеживать ток на динамике и определять ситуацию, когда звук должен воспроизводиться, но физически этого не происходит. В таком случае модифицированные AirTag можно было бы автоматически блокировать или выводить из строя.

RSS: Новости на портале Anti-Malware.ru