APK-вредоносы для Android используют хитрое сжатие для ухода от анализа

APK-вредоносы для Android используют хитрое сжатие для ухода от анализа

APK-вредоносы для Android используют хитрое сжатие для ухода от анализа

Злоумышленники распространяют вредоносные APK-файлы для Android, которые препятствуют декомпиляции, используя неподдерживаемые, неизвестные или серьёзно модифицированные алгоритмы сжатия.

Для авторов вредоносных приложений этот подход выгоден тем, что позволяет уйти от детектирования с помощью статистического анализа и усложнить исследователям анализ APK-файлов.

Компания Zimperium, не раз уделявшая много внимания проблеме зловредов в Google Play Store, изучила уловки киберпреступников, пытающихся уйти от декомпиляции их файлов.

Отправной точкой послужил твит Joe Security, в котором демонстрировался APK, уходящий от анализа, но прекрасно работающий на Android устройствах.

 

В отчёте zLab приводится цифра — 3300. Именно столько APK, по данным специалистов, используют нетипичные методы ухода от анализа, которые часто могут приводить к сбою в их работе. Тем не менее 71 вредоносный APK-файл успешно функционировал в Android версии 9 и выше при использовании методов антианализа.

Исследователи из Zimperium уточнили, что ни одно из этих приложений не представлено в Google Play Store. Эксперты даже оставили список из хешей этих программ, чтобы любители скачать софт со сторонних площадок не попались на вредонос.

Файлы в формате APK используют ZIP в двух режимах: без сжатия и с использованием алгоритма DEFLATE. Если установочный файл будет применять неизвестные или неподдерживаемые методы сжатия, его нельзя будет использовать на Android 8 и более старых версиях ОС.

Однако Android 9 и выше прекрасно прочитают такие файлы. Например, в Zimperium протестировали JADX, APKtool и родную утилиту macOS для упаковки. Ни один из таких файлов не поддаётся анализу.

Более того, авторы зловредных APK используют превышающие 256 байтов имена, что приводит к сбою в работе инструментов анализа.

ИИ поймал нарушителя на досрочном ЕГЭ

Во время досрочного этапа сдачи единого государственного экзамена (ЕГЭ) было выявлено четыре нарушения. Одного из нарушителей, пытавшегося воспользоваться шпаргалкой, обнаружили с помощью средств на базе искусственного интеллекта. Досрочный этап проходил с 20 марта по 20 апреля, в нём приняли участие 2 236 человек.

О первых итогах ЕГЭ в текущем учебном году сообщил Интерфакс со ссылкой на Рособрнадзор.

Для проведения досрочного этапа было задействовано 113 пунктов проведения экзаменов (ППЭ) в 69 регионах России. Его организацию обеспечивали более 2 тыс. сотрудников ППЭ.

«За нарушения порядка проведения ЕГЭ с экзаменов были удалены четыре человека. Первого в этом году нарушителя выявил искусственный интеллект, разработанный компанией "Ростелеком". Нейросеть, анализирующая поведение выпускников, зафиксировала использование шпаргалки у одного из участников в экзаменационном пункте Санкт-Петербурга», – такие подробности о выявленных нарушениях со стороны участников экзамена привёл Рособрнадзор.

В ходе выпускной кампании 2025 года ИИ выявил 800 случаев списывания. Нарушители пытались использовать не только шпаргалки, но и различные технические средства. В «Ростелекоме» тогда отдельно отмечали, что эффективность систем выявления нарушений выросла втрое по сравнению с 2024 годом.

В 2026 году глава Рособрнадзора Анзор Музаев анонсировал появление средств подавления мобильной связи на большей части ППЭ.

RSS: Новости на портале Anti-Malware.ru