Вредоносные программы для Android уже никого не удивляют. И хотя в Google Play они встречаются довольно редко, то в альтернативных китайских каталогах десятки, а то и сотни приложений комплектуются тем или иным трояном. Почти все они сделаны по одному лекалу: или занимаются отправкой платных SMS, или похищают пароли пользователя и отправляют их на удалённый сервер. Но вот компания TrustGo сообщает что-то новенькое: в китайских каталогах найден троян, который зарабатывает деньги для своих владельцев путём секретной покупки мобильных приложений и внутриигрового контента.
Программа получила название MMarketPay. Зловред распространяется через девять каталогов программного обеспечения в китайском интернете. По оценке экспертов, заражённые .apk скачали и, вероятно, установили на свои телефоны более 100 тысяч пользователей. Вот список заражённых программ:
com.mediawoz.goweather
com.mediawoz.gotq
com.mediawoz.gotq1
cn.itkt.travelskygo
cn.itkt.travelsky
com.funinhand.weibo
sina.mobile.tianqitong
com.estrongs.android.pop
После установки троян MMarketPay начинает понемножку тратить деньги пользователя, совершая покупки в каталоге программного обеспечения Mobile Market, который принадлежит сотовому оператору China Mobile. Зловред способен автоматически размещать заказы на платные программы и контент. Здесь есть один момент: для подтверждения покупки пользователь должен ввести на сайте код подтверждения, который приходит ему по SMS. Так вот, троян способен перехватывать SMS и вводить искомый код. Дополнительно, он вырезает картинку с кодом CAPTCHA, который тоже требуется ввести для подтверждения покупки на сайте — картинка отправляется на удалённый сервер для распознавания.
Ещё один интересный момент состоит в том, что авторизация пользователей в магазине Mobile Market осуществляется автоматически, если пользователь выходит в интернет через точку доступа China Mobile. Поэтому троян первым делом меняет в настройках телефона APN на CMWAP. Стоимость сделанных покупок снимается со счёта абонента у оператора China Mobile.
Ниже приведён фрагмент кода MMarketPay, который запускает автоматическое воспроизведение платного видео.
