Спасибо Jagadeesh Chandraiah и Ференцу Ласло Надю из SophosLabs за техническую помощь в этой статье.
SophosLabs только что привлекла наше внимание к вредоносному ПО, которое вы не часто видите в наши дни.
Это вирус Android, точнее, червь, известный как Andr / SlfMite-A .
(Несмотря на то, что мы говорим «вы не часто видите червей», мы сообщали о недолговечный твиттер-червь всего две недели назад, но самовоспроизводящиеся вредоносные программы, тем не менее, довольно редки.)
Пятнадцать-двадцать лет назад сцена вредоносных программ была почти полностью посвящена вирусам и червям: хотя Интернет был популярен, лишь небольшое количество людей регулярно заходило в сеть, поэтому вредоносные программы не могли полагаться на то, что они сидят в почтовых ящиках или на веб-сайтах, ожидающих нажатия.
Вирусы и черви должны были работать самостоятельно, и они взяли на себя задачу распространения в свои руки, автоматически находя новые файлы или компьютеры для заражения, или взбалтывать электронные письма с самими собой в качестве вложений или ссылок для скачивания.
Вот как обходится Andr / SlfMite-A , хотя он отправляет себя в виде SMS-сообщения, содержащего веб-ссылку, а не в виде отдельного вложения.
Таким образом, если вы позволяете себе заразиться, вы не просто подвергаете себя риску, вы немедленно подвергаете риску и свои 20 лучших контактов.
Вирус сразу читает из вашего списка контактов и отправляет каждому из 20 лучших SMS по имени, например:
Разница между почтовыми вирусами прошлых лет и сегодняшними вредоносными программами состоит в том, что почтовые вирусы почти всегда исходили от кого-то, кого вы знали, и часто от того, кому вы доверяли на отлично.
Это дало вам гораздо больше причин открывать вложения или переходить по ссылкам, даже если вы не были полностью уверены, насколько это было разумно.
Andr / SlfMite-A пытается воспользоваться таким же преимуществом, полагаясь на взаимное доверие, которое часто существует между контактами, использующими Android.
В конце концов, вы, вероятно, не игнорируете SMS-сообщения своих друзей, какими бы необычными они ни казались.
Если вы перейдете по ссылке и установите приложение, «рекомендованное» вашим другом, цикл продолжится: вы немедленно отправите SMS-сообщения своим 20 лучшим контактам и т. Д.
Теоретически, такой вирус может распространяться экспоненциально: одна жертва в первом поколении становится 20 во втором поколении, 400 - в третьем поколении и т. Д. С жертвами 20N-1 в поколении N.
На практике, конечно, этого никогда не происходит: многие потенциальные жертвы в каждом поколении будут удалять сообщение, или игнорировать его, или блокировать его своим антивирусом.
Кроме того, двое друзей, вероятно, будут в топ-20 контактов друг друга, поэтому, если вы заразите свою подругу, она скоро попытается заразить вас назад, что (если ничего больше) не должно дать вам подсказку, что что-то не так.
Тем не менее, компьютерные черви, которые распространяются через списки друзей, могут быстро производить много трафика и только объем может быть хлопотным.
Однако вирус Andr / SlfMite-A не просто распространяется.
В то время как он пишет всем своим друзьям, он также загружает приложение на ваше устройство.
Приложение, которое мы увидели при тестировании вируса, похоже, является интерфейсом для Mobogenie, рынка приложений для Android, который позиционирует себя в качестве основной альтернативы Google Play Store.
→ Вредоносная программа извлекает свое «полезное» приложение по короткой ссылке goo.gl; в наших тестах эта ссылка проходила через несколько перенаправлений, а это означает, что приложение, которое навязано на ваш Android, может быть легко изменено в зависимости от времени, местоположения или даже просто прихоти мошенников.
Mobogenie не новичок в спорах.
Как писал в апреле 2014 года писатель Naked Security Джон Зорабедян, Mobogenie раньше ассоциировалась с так называемыми «установками с диска», вызывая многочисленные жалобы и побудить компанию опубликовать заявление в Google Play Store:
Недавно мы поняли, что некоторые из наших пользователей были обеспокоены автоматической загрузкой Mobogenie на свои телефоны Android.
Хотя мы никогда не собирались спамить пользователей, мы хотели бы извиниться перед ними за то же самое. Узнав, что с одним из наших рекламных партнеров возникла техническая проблема, мы стараемся как можно скорее исправить ее.
Team Mobogenie внимательно следит за всеми своими акциями и рекомендует загружать приложение Mobogenie только из надежных источников, таких как Google Play, Mobogenie.com и других партнерских сетей. Мы гарантируем, что в будущем у пользователей Android больше не будет неудобств.
Несмотря на это, в сегодняшнем сообщении Play Store говорится что-то похожее, но немного другое:
Недавно нам стало известно, что некоторые из наших пользователей были обеспокоены спамом от Mobogenie.
Несмотря на то, что мы никогда не рассылали спам-рекламу нашим пользователям преднамеренно, мы хотели бы воспользоваться этой возможностью, чтобы извиниться перед всеми вами за любые неудобства, которые мог причинить этот спам. Выявив техническую проблему с одним из наших рекламных партнеров, мы в настоящее время делаем все возможное, чтобы решить эту проблему как можно скорее.
Похоже, что технические проблемы Mobogenie с рекламными партнерами продолжаются.
Что делать?
Серебряная связь с вредоносным ПО, которое распространяется таким образом, заключается в том, что он использует трехэтапную стратегию заражения, и все три этапа должны быть успешными, чтобы вирус заработал.
Имея приличное антивирусное приложение и приложение для обеспечения безопасности, вы получаете трижды шанс на победу.
Например, вот Sophos Free Антивирус и Безопасность для Android В бою:
Кроме того, не забывайте, что, следя за загрузкой программного обеспечения для Android в магазине Google Play, вы снижаете риск заражения мошенническими приложениями такого рода.
Магазин Play Store не идеален, но Google применяет к нему хоть какой-то надзор и имеет механизм, который позволяет ретроспективно убивать приложения, выгружая их, даже если вы уже загрузили и установили их.
Если есть альтернативные рынки, которые вы хотели бы или должны использовать, попробуйте включить параметр Разрешить установку приложений из неизвестных источников только тогда, когда он вам действительно нужен, и отключить его впоследствии.
Удобная функция Security Advisor в Sophos Anti-Virus напомнит вам, если вы забудете:
Наконец, почему бы не взглянуть на наши советы по мобильной безопасности чтобы держать мошенников подальше?
Что делать?