Мой Антивирус

27 июля 2017 года

Вирусные аналитики фирме «Доктор Веб» нашли вредоносную программу, встроенную в прошивку нескольких мобильных механизмов под управлением ОС Android. Троянец, получивший имя Android.Triada.231, внедрен в одну из системных библиотек. Он проникает в процессы всех работающих приложений так как в силах неприметно скачивать так как шибать доборные модули.

Троянцы семейства Android.Triada внедряются в системный процесс ингридиента ОС Android под заглавием Zygote, какой отвечает за старт программ на мобильных устройствах. Благодаря инфецированию Zygote они интегрироуются в процессы всех работающих приложений, приобретают них возможности так как функционируют с ними а уж как цельное целое. засим этого они неприметно скачивают так как запускают разные вредные модули.

В несходство от иных представителей этого семейства, кои для исполнения вредных действий пробуют приобрести root-привилегии, обнаруженный вирусными аналитиками «Доктор Веб» троянец Android.Triada.231 встроен в системную библиотеку libandroid_runtime.so. Ее измененная версия была обнаружена немедленно на нескольких мобильных устройствах, посреди коих Leagoo M5 Plus, Leagoo M8, Nomu S10 так как Nomu S20. книгохранилище libandroid_runtime.so применяют всеми Android-приложениями, из-за этого нездоровый код в зараженной системе наличествует в памяти всех запускаемых приложений.

Внедрение Android.Triada.231 в данную библиотеку было выполнено на уровне начального кода. Можно предположить, как к распространению троянца причастны инсайдеры либо нерадивые партнеры, кои участвовали в создании прошивок зараженных мобильных устройств.

Android.Triada.231 встроен в libandroid_runtime.so подобным образом, как он приобретает управление любой раз, когда-либо хоть какое приложение на устройстве делает запись в системный журнал. так как служба Zygote начинает работу наперво иных программ, начальный пуск троянца происходит собственно сквозь нее.

После инициализации вредная программа делает подготовительную настройку ряда параметров, формирует работник каталог так как проверяет, в каком округе она работает. коли троянец работает в среде Dalvik, он перехватывает одинакий из системных методов, как дает возможность ему же выслеживать старт всех приложений так как начинать вредоносную деятельность немедленно засим них старта.

Основная опция Android.Triada.231 — непримечательный пуск добавочных вредных модулей, кои имеют шабаш шансы загружать иные ингридиенты троянца. Для них пуска Android.Triada.231 испытывает присутствие в сотворенной им же раньше рабочей директории особого подкаталога. Его имя подобает держать смысл MD5 имени программного пакета приложения, в процесс коего внедрился троянец. коли Android.Triada.231 находит таковский каталог, он отыскивает в нем файл 32.mmd либо 64.mmd (для 32- так как 64-битных версий операционной системы соответственно). При наличии подобного файла троянец расшифровывает его, предохраняет под именованием libcnfgp.so, засим чего загружает его в оперативную память с применением 1-го из системных способов так как удаляет расшифрованный файл с устройства. коли же вредная программа не делать находит необходимый объект, она отыскивает файл 36.jmd. Android.Triada.231 расшифровывает его, предохраняет под именованием mms-core.jar, запускает при поддержки класса DexClassLoader, засим чего тоже удаляет сотворенную копию.

В итоге Android.Triada.231 в силах насаждать самые разные троянские модули в процессы всех программ так как воздействовать на них работу. Например, вирусописатели имеют шабаш шансы загнать троянцу команду на скачивание так как пуск вредных плагинов для кражи секретной инфы из банковских приложений, модулей для кибершпионажа так как перехвата переписки из покупателей общественных сетей так как интернет-мессенджеров так как т. п.

Кроме того, Android.Triada.231 умножать извлекать из библиотеки libandroid_runtime.so троянский модуль Android.Triada.194.origin, какой хранится в ней в зашифрованном виде. Его главная опция — загрузка из веба добавочных вредных компонентов, а уж тоже снабжение них взаимодействия желанный с другом.

Поскольку Android.Triada.231 встроен в одну из библиотек операционной системы так как предрасположен в системном разделе, удаление его стандартными способами невозможно. единым достоверным так как безвредным методом борьбы с данным троянцем появляется предписание заранее очищенной прошивки ОС Android. знатоки «Доктор Веб» уведомили производителей скомпрометированных смартфонов об имеющейся проблеме, из-за этого юзерам рекомендуется ввести шабаш вполне вероятные обновления, кои будут выпущены для подобных устройств.

Подробнее о троянце