Мой Антивирус

27 июля 2017 года

Вирусные аналитики корпорации «Доктор Веб» заприметили вредоносную программу, встроенную в прошивку нескольких мобильных механизмов под управлением ОС Android. Троянец, получивший имя Android.Triada.231, внедрен в одну из системных библиотек. Он проникает в процессы всех работающих приложений так будто в силах неприметно скачивать так будто пускать добавочные модули.

Троянцы семейства Android.Triada внедряются в системный процесс ингридиента ОС Android под наименованием Zygote, какой отвечает за старт программ на мобильных устройствах. Благодаря инфецированию Zygote они интегрироуются в процессы всех работающих приложений, приобретают них возможности так будто функционируют с ними как-нибудь цельное целое. засим этого они неприметно скачивают так будто запускают разные вредные модули.

В несходство от остальных представителей этого семейства, кои для исполнения вредных действий стараются обрести root-привилегии, обнаруженный вирусными аналитиками «Доктор Веб» троянец Android.Triada.231 встроен в системную библиотеку libandroid_runtime.so. Ее измененная версия была обнаружена безотложно на нескольких мобильных устройствах, посреди коих Leagoo M5 Plus, Leagoo M8, Nomu S10 так будто Nomu S20. книгохранилище libandroid_runtime.so применяется всеми Android-приложениями, в следствии этого вредный код в зараженной системе наличествует в памяти всех запускаемых приложений.

Внедрение Android.Triada.231 в данную библиотеку было выполнено на уровне начального кода. Можно предположить, будто к распространению троянца причастны инсайдеры либо нерадивые партнеры, кои участвовали в создании прошивок зараженных мобильных устройств.

Android.Triada.231 встроен в libandroid_runtime.so подобным образом, будто он приобретает управление любой раз, как скоро хоть какое приложение на устройстве делает запись в системный журнал. так как служба Zygote начинает работу перво-наперво остальных программ, начальный пуск троянца происходит как раз спустя нее.

После инициализации вредная программа делает подготовительную настройку ряда параметров, созидает работник каталог так будто проверяет, в каком округе она работает. в случае коли троянец работает в среде Dalvik, он перехватывает одинаковый из системных методов, будто разрешает ему же выслеживать старт всех приложений так будто начинать вредоносную деятельность безотложно засим них старта.

Основная опция Android.Triada.231 — неприметный пуск добавочных вредных модулей, кои имеют точка шансы загружать альтернативные ингридиенты троянца. Для них пуска Android.Triada.231 инспектирует присутствие в сотворенной им же прежде рабочей директории особого подкаталога. Его имя видно кормить смысл MD5 имени программного пакета приложения, в процесс коего внедрился троянец. в случае коли Android.Triada.231 находит подобный каталог, он отыскивает в нем файл 32.mmd либо 64.mmd (для 32- так будто 64-битных версий операционной системы соответственно). При наличии такого файла троянец расшифровывает его, предохраняет под именованием libcnfgp.so, засим чего загружает его в оперативную память с применением 1-го из системных способов так будто удаляет расшифрованный файл с устройства. в случае коли же вредная программа не делать находит необходимый объект, она отыскивает файл 36.jmd. Android.Triada.231 расшифровывает его, предохраняет под именованием mms-core.jar, запускает при поддержке класса DexClassLoader, засим чего а уж тоже удаляет сотворенную копию.

В итоге Android.Triada.231 в силах насаждать самые всевозможные троянские модули в процессы всех программ так будто воздействовать на них работу. Например, вирусописатели имеют точка шансы спустить троянцу команду на скачивание так будто пуск вредных плагинов для кражи секретной инфы из банковских приложений, модулей для кибершпионажа так будто перехвата переписки из покупателей общественных сетей так будто интернет-мессенджеров так будто т. п.

Кроме того, Android.Triada.231 перемножать извлекать из библиотеки libandroid_runtime.so троянский модуль Android.Triada.194.origin, какой хранится в ней в зашифрованном виде. Его основополагающая опция — загрузка из веба добавочных вредных компонентов, а уж а тоже снабжение них взаимодействия милаша с другом.

Поскольку Android.Triada.231 встроен в одну из библиотек операционной системы так будто предрасположен в системном разделе, удаление его стандартными способами невозможно. одиним-единственным достоверным так будто безвредным методикой борьбы с тем самым троянцем появляется указание заранее очищенной прошивки ОС Android. эксперты «Доктор Веб» уведомили производителей скомпрометированных смартфонов об имеющейся проблеме, в следствии этого юзерам рекомендуется ввести точка вполне вероятные обновления, кои будут выпущены для подобных устройств.

Подробнее о троянце