Мобильные вирусы.

[ALENA]

Осторожно, в PlayMarket новая угроза

Тема вирусов в PlayMarket достаточно актуальная на сегодняшний день. Особенно на них попадают неопытные пользователи Android. А отдел, следящий за безопасностью приложений, поступающих в PlayMarket, попросту не может проверять внутренний код каждого приложения вручную. Автоматическая проверка, пока с этим не справляется.

Проводя очередные исследования, компания, следящая за кибербезопасностью Cisco нашла очередную угрозу. В этот раз вирус называется GPlayed. Хакеры, создавшие это приложение, полностью стилизировали его под известное приложения Google Play. Установив его на смартфон, на главном экране создается полностью идентичное приложение, с названием Google Play Marketplace.

Как работает вирус

(открыть/скрыть)

гости не могут видеть изображения , пожалуйста зарегистрируйтесь или авторизуйтесь

Как стало известно, он наделен правами администратора. И попав на ваш смартфон, третьи лица могут управлять вашим смартфоном без физического доступа к нему. Им становится видна вся существующая на вашем смартфоне информация. От реестра звонков к важным паролям и папкам на вашем телефоне.

Пока хакеры использовали зараженные устройства для рассылки сообщений и звонков. Но они могут полностью заблокировать ваш телефон. Но, самым опасным является кража платежных данных. Если к вашему профилю привязана карта, то это не составит труда своровать ее данные. Номер и цифровая подпись легко попадет в руки мошенников.

Чем занимаются хакеры сейчас
Исследования Cisco показали, что хакеры занимаются тестом новой разработки. Она может не только сильно навредить пользователям Android, но и вовсе стать огромной проблемой для самой компании разработчика “зеленого робота". Стоит добавить, что это те же ребята, что и создали когда-то специальный ботнет, способный включать и отключать права администратора на вашем устройстве.

Будьте аккуратны, тщательно проверяйте приложения перед скачиванием. Вирусное ПО и приложения попадают на смартфон достаточно легко. А вот избавиться от них сложнее. Ведь простое удаление вирусного приложения не поможет полностью исправить проблему.

[ALENA]

В Google Play обнаружили три десятка банковских троянов

Антивирусная компания ESET обнаружила в онлайн-магазине приложений Google Play 29 банковских троянов, замаскированных под безвредные приложения. Пользователи Google Play скачали их в общей сложности более 30 000 раз.

Трояны маскировались под легитимные приложения: гороскопы, инструменты для очистки системы или экономии заряда аккумулятора и другие.

После установки на планшет или смартфон большинство приложений сообщало о несовместимости с устройством и имитировало удаление из системы (по факту иконка просто скрывалась от глаз пользователя). Некоторые подделки (например, приложения-гороскопы) выполняли заявленные в описании функции.

Вне зависимости от способа маскировки, на втором этапе атаки на устройстве происходила расшифровка полезной нагрузки с функционалом банкера. Далее троян выбирал цель среди приложений, установленных на устройстве, и внедрял соответствующую фишинговую форму для ввода логина и пароля. Кроме того, вредоносная программа перехватывала и пересылала текстовые сообщения, чтобы обойти двухфакторную аутентификацию через SMS, и могла устанавливать на устройство другое ПО.

Вредоносные приложения были загружены в Google Play от лица разных компаний-разработчиков. Тем не менее, сходство исходного кода и один и тот же управляющий сервер позволяют предположить, что у подделок один и тот же автор (группа авторов).

Как отмечается в сообщении ESET, подделки удалены из Google Play в период с августа по октябрь 2018 года.

[ALENA]

Более полумиллиона пользователей загрузили вирус с Google Play

Более полумиллиона пользователей установили вредоносное ПО для Android из Google Play – все они представляют собой гоночные игры.

Лукас Стефанко, исследователь безопасности ESET, написал в Твиттере о 13 игровых приложениях, выпущенных одним и тем же разработчиком. По его словам, два приложения оказались в тренде, из-за чего данные приложения стали еще более заметными.

В сумме приложения собрали более 580 000 установок, прежде чем вмешался Google.

Любой, кто скачивал приложения, ожидал игры с грузовиками или автомобилями. Вместо этого они получали зараженное приложение, которое зависало каждый раз, когда оно открывалось.

На самом деле приложение загружало данные из другого домена, зарегистрированного на разработчика приложения в Стамбуле, и незаметно устанавливало вредоносное ПО, удалив значок приложения в процессе. Не совсем ясно, что именно делают вредоносные приложения - ни один из сканеров вредоносных программ на основе загруженного образца в VirusTotal не смогло доподлинно определить, какую конкретную задачу выполняет вредоносное ПО.

гости не могут видеть изображения , пожалуйста зарегистрируйтесь или авторизуйтесь

Ясно только то, что вредоносное ПО имеет постоянство – оно запускалось вместе с каждым запуском Android-смартфона или планшета и получало полный доступ к его сетевому трафику, который автор вредоносного ПО может использовать для кражи секретов.

Журналисты обратились к находящемуся в Стамбуле владельцу домена Мерту Озеку, но он пока не ответил на письма.

Вот что пишет Лукас Стефанко:

Не устанавливайте эти приложения из Google Play - это вредоносное ПО.
Подробности:

-13 приложений
- все вместе 560 000+ установок
- после запуска, скрывает свой значок
- загружает дополнительный APK и заставляет пользователю установить его (недоступно сейчас)
- 2 приложения попали в раздел «Набирающие популярность»
- нет никакой функциональности
- передает данные

Представитель Google Скотт Уэстовер подтвердил, что приложения «нарушили правила и были удалены из Google Play».

Также сегодня Лукас Стефанко предостерегает родителей, чтобы их дети не устанавливали 9 приложений, которые также имеют вредоносное ПО.

гости не могут видеть изображения , пожалуйста зарегистрируйтесь или авторизуйтесь

Это еще одна неловкая ошибка в безопасности Google, которая долгое время подвергалась критике за недостаточно серьезный подход к безопасности приложений по сравнению с Apple.

Google потратил годы, пытаясь усилить уровень безопасности Android, включив в него более эффективные функции безопасности и более подробные средства контроля доступа к приложениям. Компания продолжает также бороться с вредоносными приложениями в магазине приложений Google Play, которые стали одной из самых больших угроз безопасности пользователей Android. В течение прошлого года Google удалил более 700 000 вредоносных приложений из своего магазина приложений и попытался улучшить свой серверный интерфейс, чтобы предотвратить попадание вредоносных приложений в магазин.

[GroN]

Антивирусная компания ESET обнаружила в онлайн-магазине приложений Google Play 29 банковских троянов, замаскированных под безвредные приложения. Пользователи Google Play скачали их в общей сложности более 30 000 раз.

Более полумиллиона пользователей установили вредоносное ПО для Android из Google Play – все они представляют собой гоночные игры.

При этом сама Google заявляет следующее:

Приложения на Google Play проверяются на вирусы: при публикации приложений в магазине Google, они автоматически проверяются на вредоносный код с помощью сервиса Bouncer. После того, как разработчик загружает свою программу на Google Play, Bouncer проверяет код на наличие известных вирусов, троянов и другого вредоносного ПО. Каждое приложение запускается в симуляторе для проверки, не ведет ли оно себя вредительским образом на том или ином устройстве. Поведение приложения сравнивается с известными вирусными программами и, в случае наличия схожего поведения, отмечается соответствующим образом.

На этом же настаивает директор Google по безопасности Android Адриан Людвиг:

"Я считаю, что 99% пользователей не получат никакой выгоды от использования антивируса. Процедуры отбора приложения в Google Play достаточно, чтобы отсеять заражённое программное обеспечение. Среднему пользователю нет никакого смысла устанавливать антивирус на свое устройство," - говорит Адриан Людвиг.

И как же согласуются все эти заявления?

[ALENA]

И как же согласуются все эти заявления?

выдают желаемое за действительное . 

[ALENA]

Пользователей в РФ атакует мобильный банковский троян Rotexy

Как сообщают эксперты «Лаборатории Касперского», одним из наиболее активных банковских троянов для мобильных платформ в настоящее время является Rotexy. Только за период с августа по октябрь текущего года было зафиксировано более 70 тыс. попыток атаковать устройства пользователей, преимущественно в России (в 98% случаев).

Отличительной чертой вредоноса является использование команд сразу из трех источников: через сервис Google Cloud Messaging (в виде сообщений JSON), с C&C-сервера и через SMS-сообщения.

По словам исследователей, Rotexy является эволюционировавшей версией шпионского трояна 2014 года, детектируемого ЛК как Trojan-Spy.AndroidOS.SmsThief. В настоящее время вредонос совмещает в себе функции банковского трояна и вымогательского ПО.

Троян распространяется в виде AvitoPay.apk через сайты с названиями youla9d6h.tk, prodam8n9.tk, prodamfkz.ml, avitoe0ys.tk и им подобными. После загрузки на устройство жертвы Rotexy проверяет, не запущен ли он на эмуляторе, а также определяет страну, в которой находится устройство. Оказавшись на эмуляторе или смартфоне за пределами РФ, троян отображает «заглушку».

В случае успешного прохождения проверки Rotexy регистрируется в Google Cloud Messaging и запускает сервис SuperService, отслеживающий наличие у трояна прав администратора. В случае отсутствия прав администратора вредонос запрашивает их у пользователя в бесконечном цикле.

Когда пользователь предоставляет Rotexy требуемые права, на экране появляется сообщение об ошибке, а иконка приложения исчезает. При попытке отозвать права администратора вредонос отключает экран.

В качестве банковского трояна Rotexy похищает данные банковских карт, перекрывая экран фишинговой страницей. Однако иногда вредонос получает инструкции действовать как вымогатель. Тогда он блокирует экран смартфона и отображает окно с требованием заплатить «штраф» якобы за просмотр запрещенного видео.

[ALENA]

Названы приложения из Google Play, воровавшие данные банковских карт

В Google Play найдены приложения, ворующие данные банковских карт. Об этом сообщает Trend Micro.

Это приложения Currency Converter и BatterySaverMobi. По словам Google, они уже удалены из цифрового магазина. Второе приложение успели установить пять тысяч раз до обнаружения в нём вредоносного программного обеспечения.

Они использовали вирус Anubis. Эксперты поняли это, посмотрев программный код приложений. Он предоставляет злоумышленникам доступ к экрану, так они смогут увидеть личные данные жертвы, в том числе пароли от банковских карт.

Ранее в браузере Google Chrome нашли вирус, который воровал платёжные данные. Приложение Flash Reader работало под видом безобидного расширения, но тайком скачивало информацию о банковских картах.

[ALENA]

Поддельная reCAPTCHA используется для распространения банковского Android-трояна

Исследователи ИБ-компании Sucuri выявили нацеленную на пользователей интернет-банкинга фишинговую кампанию, организаторы которой используют фальшивый механизм reCAPTCHA для кражи ценных учетных данных.

По словам исследователей, злоумышленники атаковали клиентов одного из польских банков, рассылая фишинговые письма якобы от имени сотрудников финорганизации либо с темами, призванными спровоцировать пользователя перейти по вредоносным ссылкам, содержащимся в письмах.

Хотя этот метод атаки не нов, в данном случае специалисты заметили интересную особенность: при переходе по ссылке жертва направляется не на поддельную страницу банка, а на фальшивую страницу с ошибкой 404 («страница не найдена» ).

На странице содержится ряд определенных строк User-Agent, ограниченных поисковыми ботами Google. Если жертва использует альтернативную поисковую систему (не Google), PHP-скрипт загружает фальшивую reCAPTCHA, созданную с помощью кода JavaScript и статического HTML.
Поддельная страница весьма схожа с настоящей reCAPTCHA, но имеет несколько отличий, заключающихся в использовании одинаковых изображений и отсутствии поддержки аудиовоспроизведения.

По данным в строке User-Agent PHP-код идентифицирует, какое устройство использует жертва, и на основе этой информации определяет тип загружаемого вредоносного ПО. В случае использования Android-устройств PHP-код запрашивает загрузку вредоносного файла .apk, в остальных - .zip-дроппер.

Вредонос, детектируемый антивирусным ПО как Banker, BankBot, Evo-gen и Artemis, способен собирать данные о состоянии мобильного устройства, местоположении, контактах в телефонной книге, просматривать и отправлять SMS-сообщения, совершать звонки, записывать аудио и красть другую конфиденциальную информацию.

[Сержик]

Почему есть вирусы? А они должны быть? Потому что выгодно правительствам.

[ALENA]

Cooper69, а правительство то тут при чем ? 

[Сержик]

ALENA, а как ты думаешь? Для чего вообще были придуманы вирусы? Не бери в счет  простых юзеров. Это копейки для них.

[ALENA]

Cooper69, да я тебя умоляю .Пусть хоть вирусы не зависят от политики 

[Сержик]

ALENA, неа, не могу)))))

[Безумный Макс]

Пусть хоть вирусы не зависят от политики  

[ALENA]

Вредоносное ПО использует новый способ обхода двухфакторной аутентификации

Вредонос является первым, способным обходить ограничения для приложений по использованию SMS.

Компания ESET обнаружила вредоносное ПО для Android, способное обходить механизм двухфакторной аутентификации без доступа к SMS-сообщениям.

Вредоносное ПО распространяется под видом приложений турецкой криптовалютной биржи BtcTurk и предназначено для похищения учетных данных пользователей BtcTurk. Вместо того чтобы перехватывать SMS-сообщения с одноразовым паролем для двухфакторной аутентификации, вредоносные приложения получают его из уведомлений, отображающихся на экране устройства. Вредонос не только читает приходящие уведомления, но и скрывает их для того, чтобы пользователь так и не узнал о несанкционированных транзакциях.

Детектируемый продуктами ESET как Android/FakeApp.KP вредонос является первым, способным обходить ограничения для приложений по использованию SMS и журналов звонков, добавленных в Android в марте нынешнего года.

После установки на устройство приложение запрашивает разрешение на доступ к уведомлениям. После того, как пользователь дал разрешение, вредонос отображает поддельную форму авторизации криптовалютной биржи BtcTurk. Заполучив нужную информацию, приложение отображает сообщение об ошибке, а в это время похищенные учетные данные отправляются на подконтрольный злоумышленникам сервер.

На удаленный сервер также отправляется содержимое всех прочитанных вредоносом уведомлений (в том числе одноразовые пароли), независимо от того, разрешил ли пользователь в настройках отображать уведомления на экране блокировки.

Первое вредоносное приложение под названием BTCTurk Pro Beta было загружено в Google Play 7 июня неким разработчиком BTCTurk Pro Beta. Пока Google не удалила его, приложение успели загрузить более 50 пользователей.

11 июня приложение с тем же названием снова было загружено в магазин, но разработчиком уже значился BtSoft. Хотя обе программы используют одну и ту же личину, их авторами являются разные разработчики, считают в ESET. Google удалила второе приложение 12 июня, но на следующий день в магазине появилось третье, на сей раз под названием BTCTURK PRO.