Проанализирован GlanceLove, которому удалось обойти защиту Google Play

Проанализирован GlanceLove, которому удалось обойти защиту Google Play

Исследователи Check Point проанализировали образцы вредоносной программы, получившей название GlanceLove. Если коротко, это редкое явление, когда полностью работоспособному трояну удалось обойти защиту Google Play. Этот случай также показал, что злоумышленники заранее готовятся к громким событиям, чтобы заполучить больше потенциальных жертв.

Чемпионат мира по футболу привлек к себе внимание многих злоумышленников. Так, команда Check Point Research обнаружила фишинг-кампанию, в рамках которой потенциальные жертвы получали письма с турнирной таблицей.

Файлы были заражены загрузчиком DownloaderGuide, который чаще всего используется для установки таких приложений, как панели инструментов, рекламное ПО или системные оптимизаторы. Вторая фишинг-атака также заманивала жертв расписанием матчей ЧМ 2018.

Однако на этот раз используемая вредоносная программа была предназначена для кражи учетных данных пользователей из Chrome, Firefox и Outlook, а также информация о зараженном компьютере и самой операционной системе.

Атака начинается, когда пользователь заходит на, казалось бы, невинную страницу Facebook и поддельные профили, рекламирующие приложение под названием Golden Cup. Так у пользователя появляется больше доверия к приложению и не возникает никаких подозрений о его целях, когда предлагают перейти по ссылке и загрузить приложение из Google Play. Более ранние версии вредоносного ПО распространяются таким же образом, замаскированные под дейтинговые и чат-приложения Glance Love и Wink Chat.

После установки приложение запрашивает длинный список разрешений, включая доступ к сетевому подключению устройства, контактам, SMS-сообщениям, камере и внешнему хранилищу., чтобы в дальнейшем использовать для вредоносных целей. На самом деле, само по себе приложение совершенно безобидное, и именно так оно проникает в Google Play, несмотря на меры безопасности Google. Тем не менее, хотя приложения выполняют заявленные функции (Golden Cup действительно предоставляет информацию, связанную с Чемпионатом мира), их фактическая цель заключается в том, чтобы работать как дропперы, а также беспрепятственно загружать и запускать вредоносные компоненты атаки без какого-либо взаимодействия с пользователем.

Затем Golden Cup связывается с командным сервером и загружает из него другой компонент в виде файла dex. Файл dex содержит несколько вредоносных возможностей, включая кражу фотографий, контактов, SMS-сообщений и информацию о местоположении, которые отправляются обратно на командный сервер вместе с данными об устройстве. При определенных условиях злоумышленник может дать команду второму компоненту загрузить дополнительный файл apk, содержащий третий компонент атаки, который обладает наибольшими возможностями. Для загрузки этого компонента приложению требуется согласие пользователя.

Последний компонент содержит три основных модуля:

  • ReceiverManager: модуль позволяет прослушивать микрофон устройства и записывать телефонные разговоры, а также сообщает серверу о любом новом установленном приложении и любых звонках с устройства. Интерфейс также позволяет фотографировать с помощью камеры устройства. 
  • ConnectivityManager: отвечает за связь с командным сервером, который отличается от используемого для предыдущих этапов атаки. Командный сервер может отправлять вредоносные запросы для сбора информации с устройства, установки дополнительных приложений и даже самоуничтожения (чтобы не оставлять следов). Также модуль отправляет на сервер список задач для запуска на устройстве. Связь с сервером зашифровывается на основе алгоритма AES, в котором приложение генерирует случайный ключ, шифрует данные с ним, а затем сохраняет ключ между блоками данных с уникальным для устройства смещением. 
  • TaskManager: этот модуль составляет план сбора данных и сохраняет собранную информацию в файлы, которые загружаются на сервер с помощью ConnectivityManager. Каждая операция сбора данных может быть включена или отключена командой конфигурации, полученной от сервера.

GlanceLove — это полноценное шпионское ПО, способное почти что угодно. Если конкретнее, вредонос может выполнять все следующие действия:

  • Записывать телефонные звонки. GlanceLovе ждет уведомление от ReceiverManager, что пользователь ответил на звонок, после чего вредоносная программа делает снимок через секунду. Затем он начинает записывать разговор до тех пор, пока злоумышленник не решит обратное.  
  • Отслеживать местоположения. Вредонос периодически сохраняет данные о местоположении устройства. 
  • Включать микрофон. Вредоносная программа периодически записывает аудио с микрофона устройства определенной длины и интервалом между записями. 
  • Перехватить SMS-сообщения. Вредоносная программа с установленной периодичностью перехватывает отправленные и полученные SMS-сообщения.
  • Делать фото с камеры устройства. Вредоносная программа без проблем фотографирует с помощью камеры и сохраняет изображения.
  • Отслеживать хранилище. Вредоносная программа собирает список всех каталогов хранения, включая имена и размеры файлов.
  • Получать доступ к контактам. Вредоносная программа собирает информацию из книги контактов пользователя. В нем хранятся имена, телефонные номера и время последнего контакта с ним.
  • Красть изображения. Вредоносная программа собирает изображения, хранящиеся на устройстве, и загружает их на сервер. Кроме того, он собирает EXIF-информацию изображений, которая указывает, где была сделана фотография.
Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Fortinet Secure SD-WAN интегрирован с платформой оркестрирования Amdocs

Компания Fortinet объявляет об интеграции Fortinet Secure SD-WAN с расширяемым решением для оркестрирования Amdocs, что позволит сервис-провайдерам предоставлять управляемые сервисы по обеспечению безопасности и SD-WAN на клиентских площадях, центрах обработки данных и облаках, одновременно сокращая расходы на развертывание и эксплуатацию.

«Защищенный SD-WAN становится наиболее значимой услугой WAN для корпоративных организаций благодаря своей способности содействовать цифровым инновациям с помощью бизнес-ориентированного подключения в растущей гибридной среде. Это одновременно и вызов, и возможность для поставщиков услуг, которые должны предоставлять эффективные, масштабируемые и безопасные услуги SD-WAN, чтобы способствовать повышению рентабельности инвестиций, созданию новых услуг с добавленной стоимостью, а также росту доходов и доли рынка. Интеграция ведущего в отрасли решения Fortinet Secure SD-WAN с платформой оркестрирования Amdocs позволит сервис-провайдерам предоставлять предварительно интегрированные и автоматизированные услуги, отвечающие потребностям предприятий, одновременно оптимизируя свои затраты и ускоряя время вывода на рынок» – Джон Мэддисон, первый вице-президент отдела маркетинга продуктов и решений компании Fortinet.

Способность провайдеров услуг предоставлять масштабируемые коммерческие решения SD-WAN и услуги безопасности традиционно требует значительных затрат времени и ресурсов. Экосистема, на которой базируются эти услуги, может потребовать сложной интеграции и тестирования, что приведет к длительному выходу на рынок и высоким затратам. На очень конкурентном и быстро развивающемся рынке услуг SD-WAN и обеспечения безопасности предварительно интегрированное решение от компаний Fortinet и Amdocs значительно сокращает время и усилия, необходимые для внедрения решения в среде поставщика услуг – таким образом, обеспечивая ускоренный выход на рынок, снижение затрат и повышение окупаемости инвестиций.

Решение Amdocs для управления жизненным циклом и оркестрования сервисов позволяет поставщикам услуг быстро определять, запускать, выполнять и эксплуатировать полный спектр услуг безопасности межсетевых экранов нового поколения Fortinet Secure SD-WAN, изначально располагающими собственными масштабируемыми возможностями SD-WAN. Это комбинированное решение с надлежащим уровнем автоматизации и оркестрирования поверх SD-WAN обеспечивает критическую гибкость обслуживания и возможность быстрого и эффективного масштабирования для большого числа клиентов и локаций. Решение Fortinet Secure SD-WAN операторского класса может быть развернуто на площадках заказчиков, в центрах обработки данных и в общедоступном облаке, что позволяет поставщикам услуг предлагать новые, выгодные услуги предприятиям любого размера, будь то малый или крупный бизнес. К ним относятся управляемые услуги SD-WAN, расширенные услуги безопасности и услуги SD-Branch благодаря физическим и виртуальным сетевым функциям (Physical and Virtual Network Functions – PNF и VNF) ведущего в отрасли решения Secure SD-WAN компании Fortinet.

Кроме того, с помощью PNF и VNF поставщики имеют уникальные возможности для развития своих услуг SD-WAN, предоставляя из головного офиса, филиалов и центров обработки данных через WAN и в публичное облако управляемые услуги, генерирующие дополнительный доход.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru