Рекламный троянец проник в прошивку более 40 Android-устройств18.03.2016 15:03

Специалисты компании «Доктор Веб» рассказали об обнаружении новой вредоносной программы, которая была внедрена в прошивки многих Android-устройств — более 40 моделей, а также в код нескольких известных мобильных приложений для ОС от Google. Как утверждается, троянец предназначен для показа навязчивой рекламы, а также кражи личных данных, причём в сети была замечена активность нескольких модификаций троянца с разным поведением. Модуль Android.Gmobi.1 расширяет функциональные возможности Android-приложений и предназначен для дистанционного обновления операционной системы, сбора аналитических данных, показа различных уведомлений (в том числе рекламы) и осуществления мобильных платежей.

Несмотря на кажущуюся безобидность, Android.Gmobi.1 во многом ведёт себя как типичный троянец, поэтому содержащие его программы детектируются антивирусными продуктами как вредоносные. На текущий момент специалисты «Доктор Веб» обнаружили этот SDK в предустановленном системном ПО почти 40 популярных мобильных устройств, а также в приложениях TrendMicro Dr.Safety, TrendMicro Dr.Booster и ASUS WebStorage, которые доступны для загрузки в каталоге Google Play. Все компании уже оповещены о возникшей проблеме и занимаются её решением. Так, последние официальные версии программ TrendMicro Dr.Safety и TrendMicro Dr.Booster уже не содержат этого троянца.

Рекламный троянец проник в прошивку более 40 Android-устройств

Android.Gmobi.1 имеет несколько модификаций, которые объединяет общая функциональность — сбор и отправка на удалённый узел конфиденциальной информации. Например, версии троянца, которые встроены в приложения TrendMicro Dr.Safety и TrendMicro Dr.Booster, имеют только указанную шпионскую функцию, в то время как модификация, обнаруживаемая в прошивках мобильных устройств, является наиболее продвинутой. При каждом подключении к Интернету или включении экрана зараженного смартфона или планшета (если перед этим экран был выключен более минуты) Android.Gmobi.1 собирает и отправляет на управляющий сервер целый ряд конфиденциальных данных, таких как:

  • email-адреса пользователя;
  • наличие роуминга;
  • текущие географические координаты на основе данных спутников GPS или информации мобильной сети;
  • подробную техническую информацию об устройстве;
  • страну нахождения пользователя;
  • наличие установленного приложения Google Play.

В ответ троянец получает от сервера конфигурационный файл в формате JSON (JavaScript Object Notation), который может содержать следующие управляющие команды:

  • сохранить в базу данных информацию о рекламе, которую необходимо показать пользователю;
  • создать рекламный ярлык на рабочем столе;
  • показать уведомление с рекламой;
  • показать уведомление, нажатие на которое приведет к запуску уже установленного на устройстве приложения;
  • загрузить и установить apk-файлы с использованием стандартного системного диалога или скрытно от пользователя, если для этого имеются соответствующие права.

Далее в соответствии с полученными командами вредоносная программа приступает к непосредственному выполнению своей основной вредоносной функции — показу рекламы, а также других действий, нацеленных на получение прибыли. В частности, троянец может продемонстрировать рекламу следующих типов:

  • реклама в панели уведомлений;
  • реклама в виде диалогового окна;
  • реклама в виде интерактивных диалоговых окон — при нажатии кнопки подтверждения происходит отправка SMS  (при этом она выполняется только в том случае, если у приложения, в которое встроен вредоносный SDK, есть на это соответствующие права);
  • рекламный баннер поверх окон других приложений и графического интерфейса ОС;
  • открытие заданной страницы в веб-браузере или в приложении Google Play.

Кроме того, Android.Gmobi.1 способен автоматически запускать программы, уже установленные на устройстве, а также скачивать приложения по указанным злоумышленниками ссылкам, тем самым «накручивая» их популярность.

В настоящий момент все известные модификации этого троянца детектируются и обезвреживаются антивирусными продуктами только в тех случаях, если они находятся не в системных каталогах ОС. Если Android.Gmobi.1 был обнаружен в прошивке зараженного мобильного устройства, его удаление обычными средствами не представляется возможным, поскольку для этого антивирусу необходимо наличие root-полномочий. Однако даже если необходимые права в системе имеются, удаление троянца может привести к нарушению работы заражённого смартфона или планшета, поскольку Android.Gmobi.1 может быть встроен в критически важное системное приложение. В этом случае необходимо обратиться к производителю мобильного устройства и запросить у него новую версию прошивки, в которой троянец будет отсутствовать.

Источник:  4pda.ru


©  4PDA