4623

Небольшое расследование на тему вирусов для Android

Астрологи объявили неделю вирусов, да и просто так совпало, что мне пришел очередной спам такого содержания:

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

Разумеется при переходе по ссылке показывается нечто типа "Ваш флеш не фреш! Срочно обновите, а то не покажем MMS". MMS. В 2017 году. Ну да ладно, открываем ссылочку с компа, автоматом закачивается файлик mms.apk. Открывать с телефона мы его конечно же не будем [Дружко.jpg].

Наверное многие знают, что apk-файл - это простой zip архив, который можно распаковать и посмотреть файлики внутри. Ну чтож, для начала сделаем это. Внутри много всего, в том числе есть картиночки.

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

Судя по картинкам эта "mms'ка" что-то делает под видом маркета с картами. Возможно даже показывает сиськи, т.к. они имеются, правда в разрешении 48х48 пикселей. Дальнейший просмотр указывает на то, что после установки приложение говорит "Ошибка установки 24" и якобы больше ничего. Но это не так. Внутри apk есть скомпилированный под dalvik файл -  classes.dex, в котором должно быть самое интересное. Гуглим "dex decompiler online", первому же сайту скармливаем apk и получаем архив с исходным кодом. Разве что без коментариев.

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

И таки да, оно под видом Play Market запрашивает данные карты:

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

Но ведь оно должно их куда-то отправлять. Начинаем ковыряться в джаве. Внутри находим валидатор данных карты. А попутно находим класс обратной связи. Т.е. оно не только данные карты ворует, но и умеет принимать команды и как-то на них реагировать. Собственно названия классов отлично говорят о функционале:

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

А вот и управляющий сервер:

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

Ну а тут видно как "бот" регистрируется на управляющем сайте:

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

Внутри оказывается ещё довольно много интересного. Особенно интересно, что данный вирус/бот общается на русском с управляющим сервером. Внутри сообщения все на русском и расчитан он ра русскоязычных пользователей. Вообщем суть преступления ясна. Начинаем наказание. Вооружившись whois-сервисом смотрим кто владелец подсети откуда качается apk-файл и куда писать абузу?

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

Аналогичным способом смотрим владельцев управляющего сервера:

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

Пишем письма на оба ящика. Описываем ситуацию, прикладываем скриншоты и ждём...

За пару часов оба хостера отписались "Спасибо за содействие, сайт/учётка заблокированы".


P.S: Оба хостера из Питера, что наводит на мысли о том, что автор вируса/бота от туда же. Ну или это просто совпадение.

Лучшие посты за сегодня
6671

Счастье не в деньгах

Счастье не в деньгах
5817

Босс

Босс Картинка с текстом, Юмор, Комиксы, Бэтмен, DC Comics, Супергерои
Показать полностью 1
5409

Джентльмен

Джентльмен
5259

Почти коллеги

Почти коллеги Рынок, Магазин, Продавец, Торговля, Мясо, Негатив, Наглость, Двойные стандарты
Показать полностью 1
4575

Актуальненько)

Актуальненько)
4300

Бюджетный косплей по мотивам фильма Spirited Away студии Ghibli

Бюджетный косплей по мотивам фильма Spirited Away студии Ghibli
4005

Я охренел просто...

Я охренел просто...
3879

Грязь

Грязь
3435

Ответ QuietGreyDay в «Несуны в Беларуси еще не вымерли?» 

3145

Несостоявшаяся свадьба

2911

Ответ на пост «Жительница Ленобласти утонула в необорудованной проруби на глазах у детей» 

2799

Термос

Показать полностью
2796

Яжмать из 3го подъезда

Яжмать из 3го подъезда Яжмать, Парковка, Угроза, Негатив, Неадекват
Показать полностью 1
2706

Оптимизация

2702

Игровое сообщество вступилось за 70-летнего геймера. Мужчина так медленно играл в World of Warcraft, что его забанили, приняв за бота

Игровое сообщество вступилось за 70-летнего геймера. Мужчина так медленно играл в World of Warcraft, что его забанили, приняв за бота World of Warcraft, Геймеры, Reddit
Показать полностью 1
2546

Ответ на пост «Кадыров пообещал семье экс-судьи ВС Чечни место "в тюрьме или под землей"» 

Ответ на пост «Кадыров пообещал семье экс-судьи ВС Чечни место "в тюрьме или под землей"» Политика, Новости, СМИ и пресса, Рамзан Кадыров, Суд, Общество, Россия, Пытки, Негатив, ЕСПЧ, СОБР, Терек, Ответ на пост, Длиннопост
Показать полностью 1
2423

Приметы

2410

Дядя умеет прикалываться ещё лучше

Дядя умеет прикалываться ещё лучше
2357

Плохо старались

Плохо старались
2255

Мрамор нннада?

Похожие посты закончились. Возможно, вас заинтересуют другие посты по тегам: