Рекламный троянец проник в прошивку Android

Рекламный троянец проник в прошивку Android

Рекламный троянец проник в прошивку Android

Многие современные Android-троянцы предназначены для показа навязчивой рекламы, а также установки всевозможного ПО на мобильные устройства. С их помощью вирусописатели получают неплохую прибыль, поэтому неудивительно, что число подобных вредоносных программ растет. 

Один из таких троянцев, исследованный в марте специалистами «Доктор Веб», был найден в прошивках около 40 Android-устройств. Кроме того, он был обнаружен и в нескольких приложениях от известных компаний.

Троянец, получивший имя Android.Gmobi.1, представляет собой специализированный программный пакет (SDK-платформу), который расширяет функциональные возможности Android-приложений и используется как производителями мобильных устройств, так и разработчиками ПО. В частности, этот модуль предназначен для дистанционного обновления операционной системы, сбора аналитических данных, показа различных уведомлений (в том числе рекламы) и осуществления мобильных платежей. Однако несмотря на кажущуюся безобидность,Android.Gmobi.1 во многом ведет себя как типичный троянец, поэтому содержащие его программы детектируются антивирусными продуктами Dr.Web для Android как вредоносные. На текущий момент специалисты компании «Доктор Веб» обнаружили этот SDK в предустановленном системном ПО почти 40 популярных мобильных устройств, а также в приложениях TrendMicro Dr.Safety, TrendMicro Dr.Booster и Asus WebStorage, которые доступны для загрузки в каталоге Google Play. Все пострадавшие компании уже оповещены о возникшей проблеме и занимаются ее решением. Так, последние официальные версии программ TrendMicro Dr.Safety и TrendMicro Dr.Booster уже не содержат этого троянца, пишет drweb.ru.

 

Android.Gmobi.1

 

Android.Gmobi.1 имеет несколько модификаций, которые объединяет общий функционал – сбор и отправка на удаленный узел конфиденциальной информации. Например, версии троянца, которые встроены в приложения TrendMicro Dr.Safety и TrendMicro Dr.Booster, имеют только указанную шпионскую функцию, в то время как модификация, обнаруживаемая в прошивках мобильных устройств, является наиболее «продвинутой». О ней мы и расскажем более подробно.

При каждом подключении к Интернету или включении экрана зараженного смартфона или планшета (если перед этим экран был выключен более минуты) Android.Gmobi.1 собирает и отправляет на управляющий сервер целый ряд конфиденциальных данных, таких как:

  • email-адреса пользователя;
  • наличие роуминга;
  • текущие географические координаты на основе данных спутников GPS или информации мобильной сети;
  • подробную техническую информацию об устройстве;
  • страну нахождения пользователя;
  • наличие установленного приложения Google Play.

В ответ троянец получает от сервера конфигурационный файл в формате JSON (JavaScript Object Notation), который может содержать следующие управляющие команды:

  • сохранить в базу данных информацию о рекламе, которую необходимо показать пользователю;
  • создать рекламный ярлык на рабочем столе;
  • показать уведомление с рекламой;
  • показать уведомление, нажатие на которое приведет к запуску уже установленного на устройстве приложения;
  • загрузить и установить apk-файлы с использованием стандартного системного диалога или скрытно от пользователя, если для этого имеются соответствующие права.

Далее в соответствии с полученными командами вредоносная программа приступает к непосредственному выполнению своей основной вредоносной функции – показу рекламы, а также других действий, нацеленных на получение прибыли. В частности, троянец может продемонстрировать рекламу следующих типов:

  • реклама в панели уведомлений;
  • реклама в виде диалогового окна;
  • реклама в виде интерактивных диалоговых окон – при нажатии кнопки подтверждения происходит отправка СМС (при этом она выполняется только в том случае, если у приложения, в которое встроен вредоносный SDK, есть на это соответствующие права);
  • рекламный баннер поверх окон других приложений и графического интерфейса ОС;
  • открытие заданной страницы в веб-браузере или в приложении Google Play.

Кроме того, Android.Gmobi.1 способен автоматически запускать программы, уже установленные на устройстве, а также скачивать приложения по указанным злоумышленниками ссылкам, тем самым «накручивая» их популярность.

В платформе Security Vision улучшили визуализацию и администрирование

Security Vision начала год с нового релиза своей платформы. В обновлении разработчики сосредоточились на прикладных вещах: улучшили визуализацию данных, расширили журналирование и упростили работу с экспортом, импортом и административными настройками.

Аналитика и визуализация

В виджете «Карта» появилась тепловая карта. Она позволяет наглядно показывать интенсивность, частоту и количество событий — например, кибератак или инцидентов — в разрезе ИТ-объектов.

В виджете «Последовательность (Timeline)» добавили настраиваемые формы отображения параметров, используемых при выводе данных. Это упрощает анализ цепочек событий и работу с временными срезами.

 

Журналирование и контроль действий

Журнал аудита стал подробнее. Теперь в нём фиксируются события включения и отключения коннекторов, а также расширена информация о действиях, выполняемых с сервисом коннекторов.

Кроме того, в аудит добавлены записи об остановке и удалении запущенных рабочих процессов, а также о создании отчётов, что повышает прозрачность операций и упрощает разбор спорных ситуаций.

Экспорт, импорт и администрирование

При формировании пакета экспорта теперь можно выбрать все связанные с исходной сущностью объекты только для вставки, без замены при импорте. Это особенно удобно при передаче крупных и связанных наборов данных.

В системных настройках очистки истории появилась возможность удалять записи о выполненных операциях импорта и экспорта системных сущностей, что помогает поддерживать порядок в журнале событий.

Обновления интерфейса

В релизе доработан интерфейс формы настроек журнала аудита, переработан раздел «Профиль пользователя», а также обновлены представления для внутрипортальных уведомлений.

Работа с JSON

В блоке преобразований для работы с JSON унифицированы списки вариантов в поле «Название свойства» — теперь они соответствуют вариантам выборки в поле «Значение свойства». Это касается операций добавления, объединения, удаления и поиска по JPath и XPath.

Security Vision продолжает развивать платформу, делая акцент на удобстве повседневной работы, прозрачности процессов и более наглядной аналитике.

RSS: Новости на портале Anti-Malware.ru