"Доктор Веб": Новый троянец Android.Pincer крадет СМС-сообщения

Источник: DrWeb

Компания "Доктор Веб" - российский разработчик средств защиты информации - сообщает об обнаружении новой вредоносной программы для платформы Android, способной перехватывать входящие СМС-сообщения и перенаправлять их злоумышленникам. Троянец Android.Pincer.2.origin представляет весьма серьезную опасность для пользователей, т.к. в украденных им сообщениях могут находиться в том числе и проверочные mTAN-коды, которые используются различными финансовыми системами типа "Банк-Клиент" для подтверждения денежных операций, а также другая конфиденциальная пользовательская информация.

Троянец, обнаруженный специалистами компании "Доктор Веб" несколько дней назад, является вторым известным представителем семейства Android.Pincer. Как и ее предшественник, обновленная вредоносная программа распространяется под видом сертификата безопасности, который якобы требуется установить на мобильное Android-устройство. В случае если неосторожный пользователь выполнит установку и попытается запустить троянца, Android.Pincer.2.origin продемонстрирует ложное сообщение об успешной установке сертификата, после чего до поры до времени не будет проявлять сколько-нибудь заметной активности.

screen  screen 

Чтобы загружаться вместе с операционной системой, троянец регистрирует системный сервис CheckCommandServices, который в дальнейшем работает в качестве фоновой службы.

screen

В случае успешного старта при очередном включении мобильного устройства Android.Pincer.2.origin подключается к удаленному серверу злоумышленников и загружает на него ряд сведений о мобильном устройстве. Среди них:

  • название модели;
  • серийный номер устройства;
  • IMEI-идентификатор;
  • название используемого оператора связи;
  • номер сотового телефона;
  • язык, использующийся по умолчанию в системе;
  • версия операционной системы;
  • информация о том, имеется ли root-доступ.

Далее вредоносная программа ждет поступления от злоумышленников управляющего СМС-сообщения с текстом вида "command: [название команды]", содержащего указание к дальнейшим действиям. Киберпреступниками предусмотрены следующие директивы:

  • start_sms_forwarding [номер телефона] - начать перехват сообщений с указанного номера;
  • stop_sms_forwarding - завершить перехват сообщений;
  • send_sms [номер телефона и текст] - отправить СМС с указанными параметрами;
  • simple_execute_ussd - выполнить USSD-запрос;
  • stop_program - прекратить работу;
  • show_message - вывести сообщение на экран мобильного устройства;
  • set_urls - изменить адрес управляющего сервера;
  • ping - отправить СМС с текстом pong на заранее указанный номер;
  • set_sms_number - изменить номер, на который уходит сообщение с текстом pong .

Команда start_sms_forwarding представляет особенный интерес, т. к. позволяет злоумышленникам указывать троянцу, сообщения с какого номера ему необходимо перехватить. Данная функция дает возможность использовать вредоносную программу как инструмент для проведения таргетированных атак и красть, таким образом, специфические СМС-сообщения, например сообщения от систем "Банк-Клиент", содержащие проверочные mTAN-коды, либо конфиденциальные СМС, предназначенные для самых разных категорий лиц: от простых пользователей до руководителей компаний и государственных структур.

Антивирусные продукты Dr.Web для Android успешно детектируют троянца Android.Pincer.2.origin, поэтому он не представляет опасности для наших пользователей.


Страница сайта http://www.interface.ru
Оригинал находится по адресу http://www.interface.ru/home.asp?artId=33182