Использование вредоносных программ, способных незаметно для владельцев Android-смартфонов и планшетов отправлять СМС-сообщения на дорогостоящие премиум-номера, уже длительное время является одним из главных способов обогащения для многих киберпреступников. Однако с ростом популярности мобильного банкинга вирусописатели все чаще стали применять в своих атаках более «продвинутых» троянцев. К ним, в частности, относятся многофункциональные вредоносные приложения семейства Android.SmsBot, многие из которых способны похищать деньги с банковских счетов. Настоящий материал посвящен одному из таких троянцев, обнаруженному специалистами компании «Доктор Веб».
Как и многие аналогичные вредоносные программы, новый троянец, получивший имя , распространяется злоумышленниками с использованием СМС-спама. В частности, потенциальной жертве вирусописателей поступает мошенническое сообщение якобы от имени заинтересованного покупателя, откликнувшегося на размещенное ранее потенциальной жертвой объявление о продаже чего-либо, при этом в послании предлагается посетить некий веб-сайт для получения более подробной информации. Примечательно, что в некоторых случаях для большей убедительности киберпреступники обращаются к пользователю по имени, что говорит о хорошо спланированной таргетированной атаке, в которой применяется специально сформированная база реально существующих объявлений. Расчет злоумышленников в данном случае прост: если владелец мобильного устройства в недавнем времени действительно пытался что-либо продать через Интернет, он с большой долей вероятности поверит в «удачу» и без малейших подозрений перейдет по указанной в сообщении ссылке. В этом случае на его мобильное устройство будет автоматически загружен apk-файл троянца, однако чтобы начал свою работу, пользователь должен самостоятельно выполнить его установку. Если же пользователь попытается открыть предоставленную ссылку не на Android-смартфоне или планшете, а на устройстве под управлением другой мобильной платформы либо на своем компьютере, то вместо веб-сайта, с которого загружается Android-троянец, он будет перенаправлен на безобидный ресурс.
инсталлируется в систему под видом приложения-клиента популярного в России сервиса по размещению объявлений и имеет соответствующий значок, «позаимствованный» злоумышленниками у настоящей программы. Таким образом киберпреступники пытаются окончательно убедить потенциальную жертву в том, что она имеет дело с настоящим сервисом объявлений, и ей ничто не угрожает. Сразу после запуска троянец пытается получить доступ к функциям администратора мобильного устройства, чтобы в дальнейшем осложнить попытки своего удаления. Примечательно, что вредоносная программа фактически вынуждает пользователя предоставить ей нужные права, т. к. она препятствует нормальной работе с Android-смартфоном или планшетом, блокируя его экран постоянно демонстрируемым запросом.
передает на управляющий сервер сведения о зараженном устройстве, включая его IMEI-идентификатор, информацию об операторе, а также об используемой версии операционной системы. Сразу после этого троянец получает команду на проверку наличия подключенной к телефонному номеру жертвы услуги мобильного банка нескольких кредитных организаций и выполняет запрос текущего баланса абонентского счета, а также баланса учетной записи одной из популярных в России платежных систем. С этой целью вредоносное приложение отправляет специально сформированные для каждого из этих сервисов СМС, при этом все поступающие в ответ сообщения скрывает от пользователя и переадресовывает на удаленный узел. Стоит отметить, что в ОС Android версии 4.4 и выше благодаря введенным мерам дополнительной безопасности скрыть СМС-сообщения от пользователя троянцу не удастся, поэтому он просто-напросто временно деактивирует все звуковые уведомления системы, в том числе вибровызов, и удаляет поступившую корреспонденцию.
может получить от злоумышленников следующие команды:
esms&&& - отправить на сервер список всех СМС-сообщений;
getapps&&& - отправить на сервер список установленных приложений;
sent&&& - отправить СМС-сообщение c заданным текстом на указанный номер;
rent&&& - включить перехват СМС-сообщений;
sms_stop&&& - остановить перехват СМС-сообщений;
ussd&&& - выполнить USSD-запрос;
export&&& - отправить на сервер список контактов;
u&&& - задать адрес нового управляющего сервера;
sapp&&& - отправить сообщение на указанный номер в приложении Viber.
Таким образом, при наличии денег на каком-либо из имеющихся счетов пользователя киберпреступники могут незаметно украсть их, отдав соответствующее указание вредоносному приложению. При этом жертва такой атаки узнает о хищении далеко не сразу, т. к. троянец блокирует все СМС с кодами подтверждений, а также уведомлениями об операциях с деньгами.
Специалисты компании «Доктор Веб» настоятельно советуют владельцам мобильных устройств под управлением ОС Android не переходить по ссылкам из сомнительных СМС-сообщений, а также не устанавливать приложения, полученные из ненадежных источников. Антивирусные продукты Dr.Web для Android успешно обнаруживают троянца , поэтому для наших пользователей он не представляет угрозы.
НОВОЕ НА САЙТЕ
Бизнес-школа «БИЗНЕС ИНСАЙТ» и проект «ЭКСПЕРТЫ» приглашают на III Всероссийский онлайн-форум «БИЗНЕС. ВЕСНА 2024». Бизнес-форум — важнейшее событие в мире бизнеса. На одной площадке соберутся действующие предприниматели, эксперты-практики, чтобы поделиться […]
The post
17 апреля 2024 года
В 2023 году самыми всераспространенными Android-угрозами стали троянские программы, демонстрирующие рекламу. Шпионские троянские приложения по уподоблению с прошлым годом понизили свою энергичность таково словно стали вторыми по числу детектирований на защищаемых антивирусом Dr.Web устройствах. невзирая на то, словн... Вирусные новости
11 апреля 2024 года
Компания «Доктор Веб» 4 апреля о выпуске обновления для продуктов линейки Dr.Web Enterprise Security Suite, сертифицированных ФСТЭК России.
Компания «Доктор Веб» информирует о выпуске обновления Dr.Web Desktop Security Suite (для Windows), Dr.Web Server Security Suite (для Windows), Dr.Web Mail Security Suite (для MS Exchange) так как Агента Dr.Web для Windows в составе сертифицированного ФСТЭК нашей родины Dr.Web Enterprise Security Suite (сертификат соответствия №3509). В рамках ... Антивирус Dr.Web
1 апреля 2024 года
Согласно этим статистики детектирований Dr.Web для мобильных механизмов Android, в феврале 2024 лета несравнимо возросла энергичность маркетинговых троянских программ из семейства Вирусные новости
