Azjatycki trojan wykrada prywatne dane z Androida

Szkodliwe oprogramowanie już dawno przestało być kłopotem znanym jedynie z komputerów. Od pewnego czasu coraz częściej pojawia się ono również na urządzeniach mobilnych i mamy kolejny tego dowód - Android.Spy.40.origin.

Jest to program szpiegujący, który wykrada prywatne dane właścicielom urządzeń pracujących pod kontrolą systemu Android. Rozpowszechnia się on pod postacią niechcianych sms-ów zawierających link do pliku apk. Niestety, kliknięcie w takowy odnośnik równoznaczne jest z zainfekowaniem smartfona czy tabletu.

Po zainstalowaniu i uruchomieniu, Android.Spy.40.origin zgłasza chęć dostępu do funkcji administratora urządzenia, a następnie usuwa swoją ikonę z ekranu głównego. Dzięki temu może on działać w sposób niezauważalny dla przeciętnego użytkownika. Później łączy się tylko ze zdalnym serwerem i otrzymuje z niego dalsze instrukcje.

Trojan może wyrządzić naprawę spore szkody. Wedle informacji dostarczonych przez Doctor Web jest on w stanie:

• przechwycić przychodzące wiadomości SMS i przesłać je na zewnętrzny serwer (dla użytkownika będą one niewidoczne)
• zablokować połączenia wychodzące
• wysłać na serwer listę kontaktów i zainstalowanych aplikacji
• usunąć lub zainstalować aplikację
• wysyłać SMS-y na dowolne numery

Wspomniany plik apk to archiwum zip o zmienionym rozszerzeniu. W każdym z nich istnieje specjalne pole General purpose bit flag i to właśnie ono zostało tutaj wykorzystane przez cyberprzestępców. W sytuacji, kiedy dane w archiwum są zabezpieczone hasłem, aktywny jest zerowy bit tego pola. Pomimo braku hasła, ustawienie owego bitu na „1” oznacza, że archiwum przetwarzane będzie tak, jakby było zabezpieczone.

Przy próbie rozpakowania go powinna pojawić się zatem prośba o wprowadzenie hasła. W systemie Android występuje jednak błąd, który skutkuje zignorowaniem uaktywnionego w archiwum zerowego bitu i umożliwia zainstalowanie złośliwej aplikacji.

Niestety programy antywirusowe dopiero teraz są aktualizowane tak, by radziły sobie z wykrywaniem Android.Spy.40.origin. Wprawdzie trojan atakuje obecnie głównie mieszkańców Korei Południowej, ale analitycy firmy Doctor Web przewidują, że wkrótce jego mutacje zaczną rozprzestrzenić się także wśród użytkowników z innych krajów.

Źródło: Doctor Web