Троян, замаскированный под приложение Guide for Pokémon Go для Android, был обнаружен исследователями «Лаборатории Касперского» в официальном каталоге приложений Google. В тайне от пользователя вредонос получал root-доступ к устройству и начинал показывать своей жертве рекламу. На момент обнаружения троян был загружен из каталога более 500 000 раз и в основном пользовался популярностью у пользователей из России, Индии и Индонезии.

О том, что злоумышленники охотно паразитируют на таких трендах, как Pokemon GO, мы уже рассказывали ранее. Обнаруженный исследователями «Лаборатории Касперсого» вредонос является только лишним доказательством того, что злоумышленники пристально следят за происходящим в мире и не гнушаются воспользоваться шумихой вокруг того или иного явления.

Исследователи пишут, что троян, получивший имя HEUR:Trojan.AndroidOS.Ztorg.ad, очень хорошо маскировался, и именно поэтому угроза и была замечена так поздно. Так, все исполняемые файлы малвари были зашифрованы коммерческим упаковщиком, а в распакованном виде действительно содержали полезные материалы по Pokemon Go, которые троян использовал для поддержания «легенды». А за вредоносные функции отвечал небольшой модуль с обфусцированным кодом.

Заразив устройство, троян далеко не сразу переходил к активным действиям. Сначала малварь убеждалась, что не работает на виртуальной машине, и выжидала, пока пользователь установит или удалит какое-либо приложение, чтобы убедиться, что всё в порядке. Только после этого троян связывался с управляющим сервером, отправляя операторам данные о модели зараженного девайса, версии его ОС, установленном по умолчанию языке, а также данные о том, в какой стране устройство находится.

Ответ от сервера приходил в виде JSON-файла, содержащего несколько ссылок, перейдя по которым, вредонос загружал на зараженное устройство еще ряд файлов. Эти файлы и являются настоящим оружием трояна, так как они содержат эксплоиты для различных уязвимостей в Android, преимущественно обнаруженных в 2012-2015 годах. Так, один из эксплоитов был разработан Hacking Team и попал в сеть в результате прошлогоднего взлома компании.

Вооружившись, троян наконец переходит к активной фазе атаки, получает права суперпользователя, а затем устанавливает дополнительные приложения и начинает показывать жертве рекламу.

Исследователи пишут, что пока операторы трояна в основном монетизировали свой бизнес именно за счет рекламы и не распространяли дополнительную малварь. Но никто не гарантирует, что завтра им не захочется больше денег, и они не начнут распространять через ту же малварь более опасные вещи, к примеру, вымогательское ПО или банковские трояны.

1 комментарий

  1. Аватар

    infiniti44444444

    15.09.2016 в 15:29

    Я не чего не качаю со стремными картинками. Потому что на качественную обложку нужно время )

Оставить мнение