4623

Небольшое расследование на тему вирусов для Android

Астрологи объявили неделю вирусов, да и просто так совпало, что мне пришел очередной спам такого содержания:

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

Разумеется при переходе по ссылке показывается нечто типа "Ваш флеш не фреш! Срочно обновите, а то не покажем MMS". MMS. В 2017 году. Ну да ладно, открываем ссылочку с компа, автоматом закачивается файлик mms.apk. Открывать с телефона мы его конечно же не будем [Дружко.jpg].

Наверное многие знают, что apk-файл - это простой zip архив, который можно распаковать и посмотреть файлики внутри. Ну чтож, для начала сделаем это. Внутри много всего, в том числе есть картиночки.

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

Судя по картинкам эта "mms'ка" что-то делает под видом маркета с картами. Возможно даже показывает сиськи, т.к. они имеются, правда в разрешении 48х48 пикселей. Дальнейший просмотр указывает на то, что после установки приложение говорит "Ошибка установки 24" и якобы больше ничего. Но это не так. Внутри apk есть скомпилированный под dalvik файл -  classes.dex, в котором должно быть самое интересное. Гуглим "dex decompiler online", первому же сайту скармливаем apk и получаем архив с исходным кодом. Разве что без коментариев.

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

И таки да, оно под видом Play Market запрашивает данные карты:

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

Но ведь оно должно их куда-то отправлять. Начинаем ковыряться в джаве. Внутри находим валидатор данных карты. А попутно находим класс обратной связи. Т.е. оно не только данные карты ворует, но и умеет принимать команды и как-то на них реагировать. Собственно названия классов отлично говорят о функционале:

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

А вот и управляющий сервер:

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

Ну а тут видно как "бот" регистрируется на управляющем сайте:

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

Внутри оказывается ещё довольно много интересного. Особенно интересно, что данный вирус/бот общается на русском с управляющим сервером. Внутри сообщения все на русском и расчитан он ра русскоязычных пользователей. Вообщем суть преступления ясна. Начинаем наказание. Вооружившись whois-сервисом смотрим кто владелец подсети откуда качается apk-файл и куда писать абузу?

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

Аналогичным способом смотрим владельцев управляющего сервера:

Небольшое расследование на тему вирусов для Android Android, Вирус, Botnet, Скандалы интриги расследования, Длиннопост

Пишем письма на оба ящика. Описываем ситуацию, прикладываем скриншоты и ждём...

За пару часов оба хостера отписались "Спасибо за содействие, сайт/учётка заблокированы".


P.S: Оба хостера из Питера, что наводит на мысли о том, что автор вируса/бота от туда же. Ну или это просто совпадение.

Найдены возможные дубликаты

+494

Да, как-то так.

Иллюстрация к комментарию
показать ответы
+185

Да, это должно было замедлить разбор вируса, но не прокатило.

показать ответы
+169

К сожалению с вирусами под вендами всё несколько сложнее.

показать ответы
+95

"Специально для пользователей айфонов у нас есть mms.ipa"

+73

Очевидно нечто подобное. При открытии с компа перекидывает на google.com. Если открыть с телефона появляется "заглушка" с предложением купить этот домен. Очевидно используется какая-то специфическая старая уязвимость, которой не нравится android 7.1.2.

показать ответы
+35

Нет. Надо:
- Тыкнуть в ссылку
- Скачать apk-файл
- В настройках телефона включить установку левых apk-файлов
- Установить файл
- Запустить
- Разрешить быть администратором устройства
- Радоваться вступлению телефона в скайнет.

показать ответы
+58

Я больше верю гуглу.

Иллюстрация к комментарию
показать ответы
+26

По этому адресу редирект на онлайн-казино, которое уже заблокировано.

показать ответы
+19

Суть таких "вирусов" одинаковая - кража. Личных данных, реквизитов карты или средств. Адрес сайта 155.133.82.186, а дальше он перебрасывает на aol, скрывая себя. IP адрес польский, не уверен, что они оперативно будут реагировать на абузу.

Иллюстрация к комментарию
показать ответы
+18

По фану, но "корочка" программера валяется.

показать ответы
+18

Да, верно. Не обфусцированный, а скомпилированный под dalvik файл.

+17

Многие хостеры имеют упрощённую систему регистрации без каких либо личных данных. По крайней мере именно для серверов, а не для доменов.

показать ответы
+15

У многих любителей халявы и альтернативных источников приложений оно включено по умолчанию.

+14

А вот и нет. Диплом программера 17ти летней давности - это всего лишь корочка. Ничего, из того, что изучалось не актуально. Ну кроме логики.

показать ответы
+71

Это жопа с прыщами?

показать ответы
+10

Если это именно MMS - вряд ли внутри что-то опасное. Хотя есть эксплойты, которые используют уязвимости в декодерах видео/картинок. MMS мёртворождённая технология и врядли кто-то будет её использовать для атак.

показать ответы
+19

Если взять минимальную цену на хостинг + домен в бесплатной зоне .ml - украденные даже 500 рублей вполне перекрывают затраты.

показать ответы
+17

Цитата не полная. Если процитировать целиком с "... Ну или это просто совпадение." - смысл коммента без коммента теряется.

показать ответы
+8

Так уж сложилось, что последние 7 лет не пользуюсь услугами Российских хостеров и не могу достоверно сказать про анонимность оплаты, но раньше можно было платить со счёта мобильного, который вполне реально купить "у метро" без документов.

показать ответы
+7

Рассылки вообще не законны. Онлайн казино, на сколько знаю, тоже. Вот только механизмов блокировки нет. Джойказино с их проблемами доступа тому пример.

показать ответы
+5

Да. Такое я увидел впервые и это и стало поводом для поста.

показать ответы
+11

Комментарий "без комментариев". И таки да, люди предпочитают более знакомые и привычные вещи.

показать ответы
+8

маки сделаны для тех, у кого маленький член, но не хватает денег на джип?

показать ответы
+4

Смутно себе всю эту процедуру представляю. Автора я не знаю, данных у меня нет, ущерба нет.

+4

Это другая херь. Это редирект на онлайн-казино. Но суть таже - изъятие денег.

показать ответы
+2

Может в ответ написать "ТЫХТОА?" и узнать отправителя, если он один и тот же?

показать ответы
0

Спасибо, не интересно, но за предложение - спасибо.

Похожие посты
1339

Полмиллиона пользователей Android скачали опасный вирус

Полмиллиона пользователей Android скачали опасный вирус Android, Вирус

Эксперты в области кибербезопасности обнаружили в магазине Google Play 13 поддельных приложений, замаскированных под оригинальные программы. В общей сложности их скачали более 560 тысяч раз, пишет сотрудник компании ESET Лукас Стефанко (Lukas Stefanko) в своем Twitter.


Все вредоносные приложения-игры были опубликованы в магазине от имени разработчика Luis O Pinto. Сразу после установки программы удаляли свою иконку с экрана и запускали загрузку другого приложения в фоновом режиме.


Вторая программа, в свою очередь, маскировалась под сервис Game Center, который сразу же запрашивал разрешение на полный доступ к сети и автозапуску при включении смартфона. После одобрения пользователя троян начинал крутить рекламу на экране каждый раз, когда владелец телефона разблокировал его.


Журналисты The Bleeping Computer отметили, что модераторы Google Play не удалили приложения даже после того, как зараженные пользователи оставили множество отзывов о поддельном ПО. Ситуация изменилась лишь после того, как эксперты обнародовали информацию о вредоносных программах.

3346

Как «заразить» Android смартфон вредоносным ПО

Телефон принесли в сервис, уже наверное, третий за неделю с вирусом, который рассылается через смс с другого заражённого устройства, при этом также списываются деньги с карт. Удалив вредоносное приложение через безопасный режим, решил повторить те действия которые необходимо выполнить, что бы «заразить» устройство. У меня просто нет слов…

270

Отключайте Bluetooth, или же уязвимость "BlueBorne"

Всем привет. Наверняка, в вашем телефоне/компьютере/планшете и т.д. есть Bluetooth. Оказывается, если вы его не отключаете в публичных местах это может повлечь за собой серьезные последствия. Например, над вашим телефоном будет полностью перехвачен контроль, а вы и не заметите.

Отключайте Bluetooth, или же уязвимость "BlueBorne" Вирус, Bluetooth, Android, Windows, Linux, Уязвимость, Привет читающим теги

Сначала, злоумышленник смотрит, какие есть устройства со включенным Bluetooth поблизости. Допустим, он нашел ваш телефон. Определяет MAC-адрес и операционную систему, которую вы используете. Далее, он уже может делать все что угодно, лучше всего показывает эту уязвимость данный ролик: https://www.youtube.com/watch?v=Az-l90RCns8 (Пикабу запрещает мне публиковать видео прямо в посте :( )


Из этого всего можно сделать вывод, то что даже если вы используете антивирус, не подключаетесь к публичным Wi-Fi сетям, но забыли выключить Bluetooth, то любой предприимчивый хакер может перехватить контроль над вашим банковским приложением через Bluetooth.


Отключайте Bluetooth, товарищи пикабушники.

76

И снова всплывающая реклама на Android. STS

Прошлым утром я проснулся не от будильника, а от внезапно заигравшей видеорекламы на телефоне. Рекламные баннеры появлялись тоже где угодно, даже во время звонка! Вроде и прошивка официальная, обновляется по воздуху регулярно, и приложения все установлены проверенные и антивирус есть. В общем, начал копать. С помощью приложения Airpush Detector(не сочтите за рекламу) я увидел вот это:

И снова всплывающая реклама на Android. STS Sts, Applovin, Android, Реклама, Вирус

Гугл ничего вразумительного  на sts ad framework applovin не показал, пришлось действовать по наитию. К слову, на моем телефоне не установлен root, вероятно поэтому прямо из airpush detector'a удалить тапом по экрану зловреда не удалось.

Решилось все проще, скачал ES Проводник(опять же, не реклама), и через поиск в правом верхнем углу экрана по запросу STS нашлась некая папка com.fly.sts . В ней содержались некоторые файлы, js скрипты, рекламные баннеры в виде картинок и даже .mp4 видео! 25 Мегабайт радости. Легким движением руки удаляем всю папку и перезагружаем телефон. Вуаля, рекламы нет.

Вопрос откуда это взялось, почему не нашлось ни одним антивирусом остается открытым. За последние месяца 3 ничего нового на телефон не ставилось. Более того, мои знакомые репортуют о подобной проблеме в течении последних пары дней. Вероятно кому то будет полезно.

Говорят тут любят котиков.

И снова всплывающая реклама на Android. STS Sts, Applovin, Android, Реклама, Вирус
106

Исходные коды вируса-шифровальщика SLocker для Android .

Вымогатель SLocker, также известный как Simple Locker, является одним из наиболее известных и старейших шифровальщиков для Android. Именно он устроил настоящую эпидемию летом 2016 года, а в мае 2017 года исследователи обнаружили более 400 новых образцов вируса. Спустя еще месяц, в июне 2017 года, специалисты Trend Micro заметили, что вымогатель начал копировать GUI нашумевшего шифровальщика WannaCry.

Исходные коды вируса-шифровальщика SLocker для Android . Вирус, Шифровальщик, Исходный код, Android, Slocker, Безопасность
SLocker – один из немногих мобильных вымогателей, который действительно шифрует данные жертв, а не просто запугивает пострадавших, блокируя экран устройства. SLocker использует алгоритм AES, шифрует все данные на устройстве, а потом блокирует жертве доступ к каким-либо функциям девайса и требует выкуп. Для связи с командными серверами вирус использует Tor, в результате чего отследить «источник» практически невозможно.
Исходные коды вируса-шифровальщика SLocker для Android . Вирус, Шифровальщик, Исходный код, Android, Slocker, Безопасность

Для ознакомления!

Исходный код вируса SLocker (опубликовал fs0c1ety):

https://github.com/fs0c1ety/SLocker

Пользователям Android рекомендуется удвоить бдительность и помнить о простейших правилах безопасности:

-не открывать почтовые вложения, полученные из неизвестных источников;

-не нажимать на ссылки, полученные в SMS- и MMS-сообщениях;

-отключить в настройках безопасности Android установку приложений не из Google Play;

-своевременно обновлять ОС и приложения;

-не подключаться к незащищенным и непроверенным публичным сетям Wi-Fi, и вообще отключать Wi-Fi если он не используется.

Показать полностью 1
Похожие посты закончились. Возможно, вас заинтересуют другие посты по тегам: