Fortinet: Троян для Android не дает запуститься антивирусным приложениям

Fortinet: Троян для Android не дает запуститься антивирусным приложениям

Эксперты Fortinet предупреждают, недавно обнаруженный банковский троянец для Android обладает функционалом, который позволяет ему бороться с антивирусными приложениями, препятствуя их запуску.

Детектируемая как Android/Banker.GT!tr.spy, новая вредоносная программа предназначена для кражи банковской информации пользователей. Более того, авторы этого трояна могут контролировать список целевых приложений с помощью командного центра.

Вредонос маскируется под приложение электронной почты и даже отображает иконку в панели запуска. Как некоторые другие мобильные угрозы, этот троян использует всяческие уловки, чтобы заставить пользователя предоставить ему права администратора. Затем вредонос убирает иконку из панели запуска, продолжая при этом работать в фоновом режиме.

Вредоносная программа запрашивает следующие разрешения на телефоне: состояние телефона, чтение контактов, изменение настроек, прямые звонки, чтение/получение/отправка SMS-сообщений, изменение сетевого статуса. После установки трояна в фоновом режиме будут работать следующие три службы: GPService2, FDService и AdminRightsService.

Исследователи Fortinet утверждают, что служба GPService2 предназначена для того, чтобы контролировать все запущенные на устройстве процессы и также для того, чтобы атаковать вышеупомянутые банковские приложения, накладывая поверх их окна окно вредоносной программы, напоминающее легитимное приложение. У Android/Banker.GT!tr.spy имеются различные настроенные экраны входа под каждое банковское приложение.

Служба GPService2 также препятствует запуску мобильных антивирусных приложений и включает в себя функцию для обмена данными с сервером.

Компонент FDService контролирует все запущенные процессы на устройстве, однако также был разработан для атаки различных приложений социальных сетей. Также эта служба способна отображать поддельный экран якобы Google Play, чтобы заставить пользователя ввести данные кредитной карты.

AdminRightsService была разработана, чтобы запрашивать права администратора, когда вредоносная программа запускается в первый раз.

Троян связывается с командным центром по HTTPS, посылая туда такие данные как IMEI, код страны, версию Android, модель устройства и номер телефона. Также отсылается список установленных приложений.

Чтобы удалить вредонос пользователи сначала должны лишить его прав: Настройки -> Безопасность -> Администраторы устройства -> Деактивировать. Далее троян можно удалить с помощью ADB (Android Debug Bridge), используя команду ‘adb uninstall [packagename]’.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Ростелеком-Солар и R-Vision автоматизируют реагирование на инциденты

«Ростелеком-Солар» и R-Vision запускают уникальную услугу по автоматизации реагирования на инциденты на стороне заказчиков. Совместное решение на базе платформы R-Vision IRP (Incident Response Platform) прорабатывалось больше года и сегодня доступно клиентам центра мониторинга и реагирования на киберугрозы Solar JSOC. В отличие от других подобных предложений, сервис предоставляет обширный набор готовых динамически обновляемых сценариев реагирования с разделением зон ответственности. Таким образом, реагирование становится более оперативным и эффективным.

В 90% случаев клиенты центров мониторинга и реагирования на киберугрозы предпочитают осуществлять техническое противодействие компьютерным атакам самостоятельно, силами служб ИБ и ИТ организации. Скорость и слаженность их работы критически важна для предотвращения ущерба от действий киберпреступника – наравне с оперативностью и точностью детектирования атаки. IRP-сервис от Solar JSOC помогает заказчикам упростить и сократить цикл реагирования в компании, а также минимизировать нагрузку на ИБ-специалистов за счет автоматизации ряда задач. Клиент получает готовый инструмент для управления инцидентами из единого окна с возможностью сквозного контроля за действиями как сервис-провайдера, так и внутренней ИБ-службы. Появляется возможность видеть в реальном времени: необходимые этапы реагирования с распределением ролей ответственных, статусы и сроки выполнения каждого из этапов.

Подключение к сервису происходит в течение 2-4 недель. В результате в распоряжении клиента оказывается обширная база регулярно обновляемых сценариев реагирования на инциденты (плейбуков) от экспертов Solar JSOC. При этом благодаря максимально подробной и понятной инструкции реализовать процессы реагирования смогут даже специалисты, не имеющие глубоких профильных знаний в информационной безопасности. За счет этого снижается влияние человеческого фактора.

«В рамках нового сервиса клиентам Solar JSOC становятся доступны передовые инструменты для реагирования на инциденты, усиленные уникальной экспертизой специалистов «Ростелеком-Солар». Предоставление продуктов на основе сервисной модели – одно из приоритетных для нас направлений. Такая модель требует тесного сотрудничества с сервис-провайдером и предъявляет дополнительные требования к функциональным возможностям и гибкости продукта, чтобы заказчик в итоге получил высококачественную услугу, – отметил Игорь Сметанев, коммерческий директор R-Vision. – С «Ростелеком-Солар» мы сотрудничаем давно: некоторые заказчики нашей платформы IRP используют услуги JSOC по мониторингу и реагированию на инциденты, и в продукте была реализована соответствующая интеграция. Новый сервис от JSOC – это очередная ступень нашего как технологического, так и коммерческого партнерства».

Для реализации нового сервиса R-Vision IRP была оснащена дополнительными возможностями, а также были адаптированы внутренние процессы Solar JSOC. Специалисты «Ростелеком-Солар» и R-Vision интегрировали платформу в цикл управления инцидентами Solar JSOC и настроили взаимодействие между внутренней IRP сервис-провайдера и клиентской частью на базе R-Vision IRP. Теперь благодаря централизованному управлению сценариями клиенты смогут получать новые плейбуки в день их разработки на стороне Solar JSOC – порядка 20 сценариев в квартал.

«Реагирование на инциденты переходит в новую фазу развития. Все чаще поток инцидентов таков, что заказчики уже не справляются с «ручным» управлением. В таких условиях от внешнего SOC требуется прямое взаимодействие с ИТ- и бизнес-подразделениями клиента, снабжение их понятными управляемыми инструкциями. В лице R-Vision мы нашли зрелого технологического партнера, который не только предоставил платформу для воплощения и автоматизации наших 8-летних наработок по реагированию, но и разделяет наше стратегическое видение развития данного направления», – комментирует Владимир Дрюков, директор центра мониторинга и реагирования на киберугрозы Solar JSOC компании «Ростелеком-Солар».

Решение может быть предоставлено как в сервисной модели полного цикла (включая аренду лицензий и поддержание работоспособности выделенной под заказчика платформы), так и в гибридном варианте, когда к сервису подключается уже существующая у заказчика платформа R-Vision IRP. Это позволяет клиентам выбрать оптимальный для себя формат бюджетирования и управления стоимостью услуги без жестких ограничений со стороны сервис-провайдера.

На сегодня «Ростелеком-Солар» и R-Vision уже ведут совместные проекты внедрения сервиса IRP для нескольких крупных федеральных компаний из коммерческого и государственного сектора, что позволяет подтвердить эффективность совместного подхода к построению процесса управления инцидентами.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru