Вы используете устаревший браузер!

Страница может отображаться некорректно.

Бесплатно демо
Dr.Web для Android
Скачать

Защити созданное

Другие наши ресурсы

  • free.drweb.ru — бесплатные утилиты, плагины, информеры
  • av-desk.com — интернет-сервис для поставщиков услуг Dr.Web AV-Desk
  • curenet.drweb.ru — сетевая лечащая утилита Dr.Web CureNet!
Закрыть

Библиотека
Моя библиотека

+ Добавить в библиотеку

Поддержка
Круглосуточная поддержка

Позвоните

Бесплатно по России:
8-800-333-79-32

Форум

Ваши запросы

  • Все:
  • Незакрытые:
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32 | Skype

Профиль

Назад к списку новостей

Злоумышленники продолжают охоту за деньгами Android-пользователей

18 сентября 2015 года

Использование вредоносных программ, способных незаметно для владельцев Android-смартфонов и планшетов отправлять СМС-сообщения на дорогостоящие премиум-номера, уже длительное время является одним из главных способов обогащения для многих киберпреступников. Однако с ростом популярности мобильного банкинга вирусописатели все чаще стали применять в своих атаках более «продвинутых» троянцев. К ним, в частности, относятся многофункциональные вредоносные приложения семейства Android.SmsBot, многие из которых способны похищать деньги с банковских счетов. Настоящий материал посвящен одному из таких троянцев, обнаруженному специалистами компании «Доктор Веб».

Как и многие аналогичные вредоносные программы, новый троянец, получивший имя Android.SmsBot.459.origin, распространяется злоумышленниками с использованием СМС-спама. В частности, потенциальной жертве вирусописателей поступает мошенническое сообщение якобы от имени заинтересованного покупателя, откликнувшегося на размещенное ранее потенциальной жертвой объявление о продаже чего-либо, при этом в послании предлагается посетить некий веб-сайт для получения более подробной информации. Примечательно, что в некоторых случаях для большей убедительности киберпреступники обращаются к пользователю по имени, что говорит о хорошо спланированной таргетированной атаке, в которой применяется специально сформированная база реально существующих объявлений. Расчет злоумышленников в данном случае прост: если владелец мобильного устройства в недавнем времени действительно пытался что-либо продать через Интернет, он с большой долей вероятности поверит в «удачу» и без малейших подозрений перейдет по указанной в сообщении ссылке. В этом случае на его мобильное устройство будет автоматически загружен apk-файл троянца, однако чтобы Android.SmsBot.459.origin начал свою работу, пользователь должен самостоятельно выполнить его установку. Если же пользователь попытается открыть предоставленную ссылку не на Android-смартфоне или планшете, а на устройстве под управлением другой мобильной платформы либо на своем компьютере, то вместо веб-сайта, с которого загружается Android-троянец, он будет перенаправлен на безобидный ресурс.

screen Android.SmsBot.459.origin #drweb

Android.SmsBot.459.origin инсталлируется в систему под видом приложения-клиента популярного в России сервиса по размещению объявлений и имеет соответствующий значок, «позаимствованный» злоумышленниками у настоящей программы. Таким образом киберпреступники пытаются окончательно убедить потенциальную жертву в том, что она имеет дело с настоящим сервисом объявлений, и ей ничто не угрожает. Сразу после запуска троянец пытается получить доступ к функциям администратора мобильного устройства, чтобы в дальнейшем осложнить попытки своего удаления. Примечательно, что вредоносная программа фактически вынуждает пользователя предоставить ей нужные права, т. к. она препятствует нормальной работе с Android-смартфоном или планшетом, блокируя его экран постоянно демонстрируемым запросом.

screen Android.SmsBot.459.origin #drweb screen Android.SmsBot.459.origin #drweb

Android.SmsBot.459.origin передает на управляющий сервер сведения о зараженном устройстве, включая его IMEI-идентификатор, информацию об операторе, а также об используемой версии операционной системы. Сразу после этого троянец получает команду на проверку наличия подключенной к телефонному номеру жертвы услуги мобильного банка нескольких кредитных организаций и выполняет запрос текущего баланса абонентского счета, а также баланса учетной записи одной из популярных в России платежных систем. С этой целью вредоносное приложение отправляет специально сформированные для каждого из этих сервисов СМС, при этом все поступающие в ответ сообщения Android.SmsBot.459.origin скрывает от пользователя и переадресовывает на удаленный узел. Стоит отметить, что в ОС Android версии 4.4 и выше благодаря введенным мерам дополнительной безопасности скрыть СМС-сообщения от пользователя троянцу не удастся, поэтому он просто-напросто временно деактивирует все звуковые уведомления системы, в том числе вибровызов, и удаляет поступившую корреспонденцию.

Android.SmsBot.459.origin может получить от злоумышленников следующие команды:

  • esms&&& - отправить на сервер список всех СМС-сообщений;
  • getapps&&& - отправить на сервер список установленных приложений;
  • sent&&& - отправить СМС-сообщение c заданным текстом на указанный номер;
  • rent&&& - включить перехват СМС-сообщений;
  • sms_stop&&& - остановить перехват СМС-сообщений;
  • ussd&&& - выполнить USSD-запрос;
  • export&&& - отправить на сервер список контактов;
  • u&&& - задать адрес нового управляющего сервера;
  • sapp&&& - отправить сообщение на указанный номер в приложении Viber.

Таким образом, при наличии денег на каком-либо из имеющихся счетов пользователя киберпреступники могут незаметно украсть их, отдав соответствующее указание вредоносному приложению. При этом жертва такой атаки узнает о хищении далеко не сразу, т. к. троянец блокирует все СМС с кодами подтверждений, а также уведомлениями об операциях с деньгами.

Специалисты компании «Доктор Веб» настоятельно советуют владельцам мобильных устройств под управлением ОС Android не переходить по ссылкам из сомнительных СМС-сообщений, а также не устанавливать приложения, полученные из ненадежных источников. Антивирусные продукты Dr.Web для Android успешно обнаруживают троянца Android.SmsBot.459.origin, поэтому для наших пользователей он не представляет угрозы.

Нам важно Ваше мнение

Комментарии размещаются после проверки модератором. За каждый содержательный комментарий начисляется 1 Dr.Web-ка. Чтобы задать вопрос по новости администрации сайта, укажите в начале своего комментария @admin. Если ваш вопрос к автору одного из комментариев — поставьте перед его именем @


Другие комментарии

Российский разработчик антивирусов Dr.Web

Опыт разработки с 1992 года

Dr.Web пользуются в 200+ странах мира

Dr.Web в Реестре Отечественного ПО

Поставка антивируса как услуги с 2007 года

Круглосуточная поддержка на русском языке

© «Доктор Веб»
2003 — 2017

«Доктор Веб» — российский производитель антивирусных средств защиты информации под маркой Dr.Web. Продукты Dr.Web разрабатываются с 1992 года.

125040, Россия, Москва, 3-я улица Ямского поля, вл.2, корп.12А