APK-вредоносы для Android используют хитрое сжатие для ухода от анализа

APK-вредоносы для Android используют хитрое сжатие для ухода от анализа

APK-вредоносы для Android используют хитрое сжатие для ухода от анализа

Злоумышленники распространяют вредоносные APK-файлы для Android, которые препятствуют декомпиляции, используя неподдерживаемые, неизвестные или серьёзно модифицированные алгоритмы сжатия.

Для авторов вредоносных приложений этот подход выгоден тем, что позволяет уйти от детектирования с помощью статистического анализа и усложнить исследователям анализ APK-файлов.

Компания Zimperium, не раз уделявшая много внимания проблеме зловредов в Google Play Store, изучила уловки киберпреступников, пытающихся уйти от декомпиляции их файлов.

Отправной точкой послужил твит Joe Security, в котором демонстрировался APK, уходящий от анализа, но прекрасно работающий на Android устройствах.

 

В отчёте zLab приводится цифра — 3300. Именно столько APK, по данным специалистов, используют нетипичные методы ухода от анализа, которые часто могут приводить к сбою в их работе. Тем не менее 71 вредоносный APK-файл успешно функционировал в Android версии 9 и выше при использовании методов антианализа.

Исследователи из Zimperium уточнили, что ни одно из этих приложений не представлено в Google Play Store. Эксперты даже оставили список из хешей этих программ, чтобы любители скачать софт со сторонних площадок не попались на вредонос.

Файлы в формате APK используют ZIP в двух режимах: без сжатия и с использованием алгоритма DEFLATE. Если установочный файл будет применять неизвестные или неподдерживаемые методы сжатия, его нельзя будет использовать на Android 8 и более старых версиях ОС.

Однако Android 9 и выше прекрасно прочитают такие файлы. Например, в Zimperium протестировали JADX, APKtool и родную утилиту macOS для упаковки. Ни один из таких файлов не поддаётся анализу.

Более того, авторы зловредных APK используют превышающие 256 байтов имена, что приводит к сбою в работе инструментов анализа.

Дуров: блокировки не помогают России, а отбрасывают её на десятилетия назад

Павел Дуров вновь жёстко высказался о российской цифровой политике. Основатель Telegram заявил, что блокировки интернет-сервисов и ограничения доступа к зарубежным платформам не приблизили страну к цифровому суверенитету, а наоборот — отдалили от него.

По мнению Дурова, одной из главных проблем стала утечка кадров.

«Специалисты, которые могли бы создать в России операционную систему для смартфонов, в условиях сломанного интернета массово покидают страну», — написал он.

Предприниматель считает, что без собственной мобильной операционной системы говорить о настоящем технологическом суверенитете сложно. По его словам, пока смартфоны работают на iOS и Android, любые приложения — независимо от того, российские они или зарубежные — остаются зависимыми от американских платформ.

Дуров утверждает, что через операционные системы, магазины приложений и потенциальные бэкдоры сохраняются риски цензуры и контроля со стороны США.

Отдельно основатель Telegram раскритиковал курс на замену иностранных сервисов российскими аналогами без создания собственной базовой инфраструктуры.

«Замена "иностранных" приложений на "национальные" при сохранении американских ОС — смена упаковки без смены сути», — заявил он.

При этом Дуров использовал максимально резкие формулировки, назвав такой подход «потёмкинскими деревнями с привкусом коррупции».

Самым жёстким оказался финал его заявления. По мнению предпринимателя, чиновники, которые под лозунгами цифрового суверенитета ограничивают работу интернета и зарубежных сервисов, фактически добиваются обратного эффекта.

«Российский чиновник, который сломал интернет и отбросил страну на десятилетия назад под предлогом цифрового суверенитета, заслуживает медаль национальной безопасности — от США», — написал Дуров.

Заявление прозвучало на фоне продолжающихся дискуссий о развитии отечественных цифровых платформ, мобильных экосистем и новых ограничениях в российском сегменте интернета.

RSS: Новости на портале Anti-Malware.ru