Simplocker — младший брат CryptoLocker’а. Подробный разбор первого локера и шифровальщика файлов под Android

Заражение и инициализация

Про­цесс зараже­ния телефо­на ничем осо­бен­ным от уже при­выч­ной схе­мы для устрой­ств под управле­нием Android не отли­чает­ся. Злов­редный APK-файл про­ника­ет на телефон под видом игры Sex Xonix, яко­бы пре­дос­тавля­ющей воз­можность полюбо­вать­ся голыми тет­ками. Понят­ное дело, что нат­кнуть­ся на такое сок­ровище на андро­ид‑мар­кете нере­аль­но и оби­тает оно на вся­чес­ких вто­росор­тных сай­тах с сом­нитель­ным содер­жимым, которое прив­лека­ет к себе любите­лей погоря­чее.

При уста­нов­ке тро­ян зап­рашива­ет сле­дующие раз­решения (они, как и положе­но, про­писа­ны в AndroidManifest.xml):

Ко­неч­но, опыт­ный и осто­рож­ный вла­делец телефо­на, уви­дев такие нес­кром­ные для прос­той игрушки зап­росы, сра­зу же заподоз­рит нелад­ное, но самых нас­торажи­вающих раз­решений на отправ­ку SMS и совер­шения звон­ков в этом спис­ке не наб­люда­ется (да и прав супер­поль­зовате­ля тоже не тре­бует­ся), поэто­му мно­гие любите­ли такого рода игр спо­кой­но давят на кноп­ку «Уста­новить».

В резуль­тате уста­нов­ки вмес­то полу­обна­жен­ных кра­соток на экра­не телефо­на появ­ляют­ся устра­шающие над­писи, подоб­ные тем, что «пос­час­тли­вилось» наб­людать мно­гим незадач­ливым поль­зовате­лям на экра­нах сво­их компь­юте­ров в не сов­сем далеком прош­лом.

Су­щес­тву­ет нес­коль­ко вари­антов тро­яна с раз­ными видами экра­на бло­киров­ки, которые отли­чают­ся содер­жани­ем устра­шающей над­писи, вымога­емой сум­мой (есть вари­ант, тре­бующий опла­ту в укра­инских грив­нах) и спо­собом опла­ты (име­ются вари­анты с опла­той через QIWI-кошелек, через попол­нение номера мобиль­ного и через укра­инскую пла­теж­ную сис­тему MoneXy). Некото­рые раз­новид­ности Simplocker для боль­шего устра­шения исполь­зуют еще и встро­енную в телефон камеру: фотог­рафиру­ют перепу­ган­ное лицо нес­час­тно­го вла­дель­ца телефо­на и гро­зят­ся отпра­вить это фото «куда сле­дует». Все­го на момент написа­ния статьи анти­вирус­ными ком­пани­ями было обна­руже­но око­ло 30 модифи­каций тро­яна Simplocker.

Изучаем содержимое манифест-файла

В начале деком­пилиро­ван­ного фай­ла AndroidManifest.xml мы видим выше­опи­сан­ные сом­нитель­ные раз­решения. Далее сле­дуют объ­явле­ния ком­понен­тов тро­яна: один ком­понент Main типа action, который запус­кает­ся в момент, ког­да поль­зователь щел­кает по икон­ке тро­яна, два ком­понен­та типа receiver — ServiceStarter и SDCardServiceStarter (пер­вый запус­кает­ся во вре­мя заг­рузки телефо­на, вто­рой — при наличии SD-кар­ты) и два ком­понен­та типа service — MainService и TorService.

Все наз­вания говорят сами за себя. В MainService реали­зован основной фун­кци­онал тро­яна, ServiceStarter, оче­вид­но, запус­кает основной сер­вис в момент заг­рузки телефо­на, SDCardServiceStarter запус­кает про­цесс шиф­рования фай­лов, если в телефон встав­лена SD-кар­та, а TorService, судя по наз­ванию, отве­чает за связь с коман­дным сер­вером пос­редс­твом сети Tor.

Другие статьи в выпуске:

Хакер #187. Обходим Blizzard Warden

• Содержание выпуска
• Подписка на «Хакер»-60%

Ос­новная задача клас­са Main — бло­киров­ка экра­на, вывод на него устра­шающей над­писи и запуск сер­виса, который опи­сан клас­сом MainService. Все устра­шающие над­писи находят­ся в ресур­сах APK-фай­ла в виде тек­сто­вых строк, а бло­киров­ка экра­на осу­щест­вля­ется перех­ватом нажатий кно­пок телефо­на Home, Back и Menu.

Связь с командным сервером

Глав­ная осо­бен­ность это­го тро­яна — исполь­зование сети Tor для свя­зи с коман­дным сер­вером. Сам коман­дный сер­вер рас­полага­ется в домен­ной зоне .onion, что дела­ет весь­ма зат­рудни­тель­ным иден­тифика­цию его вла­дель­ца.

В отли­чие от CryptoLocker’a, Simplocker не генери­рует домен­ные име­на коман­дно­го сер­вера по спе­циаль­ному алго­рит­му. Имя сер­вера про­писа­но непос­редс­твен­но в теле прог­раммы, при этом в раз­ных вари­антах прог­раммы име­на отли­чают­ся друг от дру­га.

Пос­ле соеди­нения тро­ян собира­ет пол­ную информа­цию о телефо­не (IMEI устрой­ства, номер телефо­на, про­изво­дитель, модель, вер­сия ОС) и переда­ет все это на коман­дный сер­вер, для того что­бы опре­делить факт опла­ты. По это­му номеру и отсле­жива­ется факт опла­ты. При под­твержде­нии опла­ты в ответном сооб­щении от коман­дно­го сер­вера переда­ется коман­да на сня­тие экра­на бло­киров­ки и рас­шифров­ку зашиф­рован­ных фай­лов.

За успешную работу тро­яна в Tor-сети, как мы уже говори­ли, отве­чает класс TorService, код которо­го, по всей видимос­ти, был взят из популяр­ного Tor-кли­ента под андро­ид Orbot и нем­ного допилен под нуж­ный фун­кци­онал.

Поиск и шифрование файлов

При обна­руже­нии в телефо­не SD-кар­ты стар­тует SDCardServiceStarter, который, в свою оче­редь, запус­кает про­цесс поис­ка и шиф­рования фай­лов. Если покопать­ся в коде тро­яна, то там мож­но обна­ружить сле­дующие стро­ки:

Как мож­но догадать­ся, это не что иное, как рас­ширения фай­лов, которые будут под­вер­гну­ты шиф­рованию. Для шиф­рования фай­лов исполь­зует­ся крип­тогра­фичес­кое рас­ширение JCE (Java Cryptography Extension), поз­воля­ющее реали­зовать основные крип­тогра­фичес­кие алго­рит­мы.

Рас­смат­рива­емый нами тро­ян исполь­зует алго­ритм сим­метрич­ного шиф­рования AES с дли­ной клю­ча в 256 бит, при­чем ключ генери­рует­ся самим тро­яном из тек­сто­вой стро­ки, которая хра­нит­ся в теле тро­яна (в CryptoLocker’е, напом­ним, исполь­зовал­ся алго­ритм RSA и ключ для рас­шифров­ки хра­нил­ся на коман­дном сер­вере). Генера­ция клю­ча шиф­рования осу­щест­вля­ется путем сня­тия SHA-256-хеша с тек­сто­вой стро­ки, сос­тоящей из 12 сим­волов (у каж­дого из вари­антов тро­яна эта стро­ка раз­ная).

Как извес­тно, при AES-шиф­ровании для шиф­ровки и дешиф­ровки исполь­зует­ся один и тот же ключ, так что, под­гля­дев кус­ки кода тро­яна в том мес­те, где про­исхо­дит генера­ция клю­ча и ини­циали­зация алго­рит­ма шиф­рования, мож­но зап­росто написать код, который бес­плат­но рас­шифру­ет фай­лы без коман­ды stop от коман­дно­го сер­вера.

Пос­ле того как тро­ян зашиф­ровал оче­ред­ной файл, он добав­ляет к зашиф­рован­ному фай­лу рас­ширение enc, записы­вает его на SD-кар­ту и уда­ляет исходный файл.

Заключение

Ко­неч­но, до той сте­пени коварс­тва, которой дос­тиг CryptoLocker, это­му тво­рению неведо­мых мас­теров еще далеко (денег он тре­бует помень­ше, да и шиф­рует фай­лы так, что их мож­но рас­шифро­вать самому, нем­ного поизу­чав код фун­кции дешиф­ровки), но все же пре­умень­шать опас­ность такого рода вре­донос­ных прог­рамм не сто­ит и сле­дует быть пов­ниматель­ней с тем, что хочет­ся уста­новить на свой телефон. Ведь ник­то не зна­ет, каким будет сле­дующий шаг вирусо­писа­телей.