Сложный Android-вредонос избегает обнаружения системами Google Play

Сложный Android-вредонос избегает обнаружения системами Google Play

Сложный Android-вредонос избегает обнаружения системами Google Play

Исследователи ESET отметили, что недавно обнаруженные вредоносные программы для Android, проникнувшие в Google Play, используют расширенные функции анти-детектирования.

ESET сообщает, что новое семейство Android-зловредов, детектируемое как Android/TrojanDropper.Agent.BKY, использует интересные функции, чтобы остаться незамеченным. По словам экспертов, все образцы мобильного трояна используют многоступенчатую архитектуру и шифрование.

При этом троян не запрашивает никаких подозрительных разрешений, а также имитирует ту легитимную активность, которая была заявлена в описании.

Параллельно вредонос совершает скрытые от пользователя действия — например, поэтапно расшифровывает и запускает два вредоносных компонента. Эти шаги осуществляются в качестве обфускационных мер, утверждают в ESET.

После вышеперечисленных шагов троян загружает вредоносное приложение из жестко заданного в коде URL, все это скрыто от пользователя. Далее следует 5-минутная задержка, после которой жертве предлагается установить следующий вредоносный компонент.

Этот компонент маскируется под Adobe Flash Player или другое популярное приложение, используя имя вроде Android Update или Adobe Update. После установки этого компонента и предоставления ему необходимых разрешений, вредоносное приложение расшифровывает и выполняет заключительный пейлоад четвертого этапа.

Этот троян подставляет поддельные формы входа, позволяющие красть учетные данные пользователей, включая данные платежных карт. Отследив сокращенный вредоносный URL-адрес, исследователи пришли к выводу, что ссылка использовалась почти 3000 раз по состоянию на 14 ноября, а большинство переходов было из Нидерландов.

Пострадавшим от этого зловреда пользователям рекомендуется сначала деактивировать права администратора для установленного пейлоада (Adobe Flash Player, Adobe Update или Android Update), а затем удалить все, что было загружено приложением, включая изначальный файл с Play Store.

С этой вредоносной кампанией ассоциируют следующие приложения: MEX Tools, Clear Android, Cleaner for Android, World News, WORLD NEWS, World News PRO, Игровые Автоматы Слоты Онлайн, и Слоты Онлайн Клуб Игровые Автоматы.

Подпишитесь на новости

Производители ТВ признали, что полностью отключить сбор данных нельзя

Издание The Verge задало производителям телевизоров и ТВ-приставок 17 вопросов о том, какие данные они собирают о пользователях. Из 11 компаний ответили семь: Amazon, Apple, Google, LG, Roku, Samsung и TCL. Panasonic, Sony и Vizio отвечать не стали, с Hisense связаться не удалось. Apple ответила лишь на часть вопросов.

Ответы компаний опубликовала The Verge. Главной темой стало автоматическое распознавание контента (ACR).

Эта технология определяет, что смотрит человек, и используется в том числе для показа рекламы и подсчета аудитории. У Samsung, LG и Amazon ACR по умолчанию выключен.

Samsung утверждает, что после отключения функции удаляет собранные данные со своих серверов. LG распознает контент по звуковым отпечаткам, а при включенном ACR определяет местоположение по соседним сетям Wi-Fi. Расшифровки голосовых команд у LG могут храниться без шифрования.

Google при стандартной настройке сразу включает сбор диагностики, персональные рекомендации и рекламу. Google TV передает компании IP-адрес и данные о соседних сетях Wi-Fi, по которым можно определить местоположение. Apple заявила, что Apple TV 4K не использует ACR и не делает снимков экрана.

Amazon, Google, Samsung и Roku признали, что полностью отказаться от передачи данных нельзя. Если телевизор отключен от интернета, устройства Amazon, Google, Roku, Samsung и TCL сохраняют часть данных и отправляют их после подключения.

Исследование Северо-Восточного университета показало, что телевизоры Vizio продолжали отправлять данные и после отказа пользователя от сбора. В компании назвали это служебными данными. У Samsung и Roku поток данных после отказа сократился, но полностью не прекратился.

RSS: Новости на портале Anti-Malware.ru