Fortinet: Троян для Android не дает запуститься антивирусным приложениям

Fortinet: Троян для Android не дает запуститься антивирусным приложениям

Fortinet: Троян для Android не дает запуститься антивирусным приложениям

Эксперты Fortinet предупреждают, недавно обнаруженный банковский троянец для Android обладает функционалом, который позволяет ему бороться с антивирусными приложениями, препятствуя их запуску.

Детектируемая как Android/Banker.GT!tr.spy, новая вредоносная программа предназначена для кражи банковской информации пользователей. Более того, авторы этого трояна могут контролировать список целевых приложений с помощью командного центра.

Вредонос маскируется под приложение электронной почты и даже отображает иконку в панели запуска. Как некоторые другие мобильные угрозы, этот троян использует всяческие уловки, чтобы заставить пользователя предоставить ему права администратора. Затем вредонос убирает иконку из панели запуска, продолжая при этом работать в фоновом режиме.

Вредоносная программа запрашивает следующие разрешения на телефоне: состояние телефона, чтение контактов, изменение настроек, прямые звонки, чтение/получение/отправка SMS-сообщений, изменение сетевого статуса. После установки трояна в фоновом режиме будут работать следующие три службы: GPService2, FDService и AdminRightsService.

Исследователи Fortinet утверждают, что служба GPService2 предназначена для того, чтобы контролировать все запущенные на устройстве процессы и также для того, чтобы атаковать вышеупомянутые банковские приложения, накладывая поверх их окна окно вредоносной программы, напоминающее легитимное приложение. У Android/Banker.GT!tr.spy имеются различные настроенные экраны входа под каждое банковское приложение.

Служба GPService2 также препятствует запуску мобильных антивирусных приложений и включает в себя функцию для обмена данными с сервером.

Компонент FDService контролирует все запущенные процессы на устройстве, однако также был разработан для атаки различных приложений социальных сетей. Также эта служба способна отображать поддельный экран якобы Google Play, чтобы заставить пользователя ввести данные кредитной карты.

AdminRightsService была разработана, чтобы запрашивать права администратора, когда вредоносная программа запускается в первый раз.

Троян связывается с командным центром по HTTPS, посылая туда такие данные как IMEI, код страны, версию Android, модель устройства и номер телефона. Также отсылается список установленных приложений.

Чтобы удалить вредонос пользователи сначала должны лишить его прав: Настройки -> Безопасность -> Администраторы устройства -> Деактивировать. Далее троян можно удалить с помощью ADB (Android Debug Bridge), используя команду ‘adb uninstall [packagename]’.

В платформе Security Vision улучшили визуализацию и администрирование

Security Vision начала год с нового релиза своей платформы. В обновлении разработчики сосредоточились на прикладных вещах: улучшили визуализацию данных, расширили журналирование и упростили работу с экспортом, импортом и административными настройками.

Аналитика и визуализация

В виджете «Карта» появилась тепловая карта. Она позволяет наглядно показывать интенсивность, частоту и количество событий — например, кибератак или инцидентов — в разрезе ИТ-объектов.

В виджете «Последовательность (Timeline)» добавили настраиваемые формы отображения параметров, используемых при выводе данных. Это упрощает анализ цепочек событий и работу с временными срезами.

 

Журналирование и контроль действий

Журнал аудита стал подробнее. Теперь в нём фиксируются события включения и отключения коннекторов, а также расширена информация о действиях, выполняемых с сервисом коннекторов.

Кроме того, в аудит добавлены записи об остановке и удалении запущенных рабочих процессов, а также о создании отчётов, что повышает прозрачность операций и упрощает разбор спорных ситуаций.

Экспорт, импорт и администрирование

При формировании пакета экспорта теперь можно выбрать все связанные с исходной сущностью объекты только для вставки, без замены при импорте. Это особенно удобно при передаче крупных и связанных наборов данных.

В системных настройках очистки истории появилась возможность удалять записи о выполненных операциях импорта и экспорта системных сущностей, что помогает поддерживать порядок в журнале событий.

Обновления интерфейса

В релизе доработан интерфейс формы настроек журнала аудита, переработан раздел «Профиль пользователя», а также обновлены представления для внутрипортальных уведомлений.

Работа с JSON

В блоке преобразований для работы с JSON унифицированы списки вариантов в поле «Название свойства» — теперь они соответствуют вариантам выборки в поле «Значение свойства». Это касается операций добавления, объединения, удаления и поиска по JPath и XPath.

Security Vision продолжает развивать платформу, делая акцент на удобстве повседневной работы, прозрачности процессов и более наглядной аналитике.

RSS: Новости на портале Anti-Malware.ru