Groźny trojan w firmware dla Androida

2 października 2015, 07:40

Analitycy bezpieczeństwa Doctor Web wciąż kontynuują rejestrowanie nowych przypadków trojanów dla Androida, które są preinstalowane na urządzeniach jako aplikacje systemowe. Ostatnio natrafili na kolejny incydent tego typu, wywołany przez Android.Backdoor.114.

Android.Backdoor.114.origin jest znany analitykom Doctor Web już od dłuższego czasu - pierwszy raz ten trojan pojawił się ponad rok temu. Od tej pory wciąż stanowi wielkie zagrożenie dla użytkowników systemu Android, głównie dlatego, że bywa wbudowany bezpośrednio w firmware urządzenia mobilnego. W rezultacie usunięcie trojana stało się prawie niemożliwe z użyciem typowych narzędzi. Aby uwolnić się od złośliwego programu, użytkownik musi uzyskać uprawnienia root'a, co może być trudne (lub nawet niebezpieczne) do zrealizowania. Inną drogą jest ponowna instalacja systemu operacyjnego, jednakże to może prowadzić do trwałej utraty wszystkich danych, które nie zostały zachowane w kopiach zapasowych.

We wrześniu analitycy bezpieczeństwa byli świadkami nowej infekcji wywołanej przez Android.Backdoor.114.origin. Właściciele rosyjskiego tabletu Oysters T104 HVi 3G stali się ofiarami złośliwej aktywności tego backdoora - na ich urządzeniach malware ukrywało się w preinstalowanej aplikacji GoogleQuickSearchBox.apk. Mimo że producent został powiadomiony o problemie, do dziś oficjalna, dostępna do pobrania wersja firmware nie przeszła żadnych zmian i wciąż zawiera w sobie backdoora.

Android.Backdoor.114.origin pozyskuje i wysyła na serwer kontrolno-zarządzający informacje o zainfekowanym urządzeniu. W zależności od modyfikacji potrafi wysyłać cyberprzestępcom następujące dane:

- Unikalny identyfikator zainfekowanego urządzenia

- Adres MAC karty Bluetooth

- Rodzaj zainfekowanego urządzenia (smartfon lub tablet)

- Parametry z pliku konfiguracyjnego

- Adres MAC

- IMSI

- Wersję złośliwej aplikacji

- Wersję systemu operacyjnego

- Wersję API urządzenia

- Rodzaj połączenia sieciowego

- Nazwę pakietu aplikacji

- ID kraju

- Rozdzielczość ekranu

- Nazwę producenta urządzenia

- Nazwę modelu

- Ilość zajętego miejsca na karcie SD

- Ilość wolnego miejsca na karcie SD

- Ilość zajętego miejsca w pamięci wewnętrznej

- Ilość wolnego miejsca w pamięci wewnętrznej

- Listę aplikacji zainstalowanych w folderze systemowym

- Listę aplikacji zainstalowanych przez użytkownika

Jednak głównym celem Android.Backdoor.114.origin jest skryte ładowanie, instalowanie i usuwanie aplikacji po otrzymaniu komendy z serwera kontrolno-zarządzającego. Co więcej, trojan potrafi aktywować wyłączoną opcję instalowania aplikacji z niepewnych źródeł. W ten sposób, nawet gdy użytkownik stosuje się do zalecanych reguł bezpieczeństwa, backdoor potrafi zmodyfikować ustawienia w celu instalacji programów reklamowych oraz niechcianych i niebezpiecznych aplikacji.

Analitycy bezpieczeństwa zalecają użytkownikom systemu Android przeprowadzanie okresowego skanowania antywirusowego swoich urządzeń pod kątem znanych złośliwych programów. Jeśli trojan lub inny złośliwy program zostanie wykryty w firmware, zaleca się skontaktowanie z producentem urządzenia w celu uzyskania poprawionego obrazu systemu operacyjnego, ponieważ w większości przypadków, usunięcie takiego malware z użyciem wbudowanych narzędzi (włączając oprogramowanie antywirusowe) jest niemożliwe.

Krzysztof Mocek / Informacja prasowa
krzysztof.mocek@firma.interia.pl

Tagi:

Ocena:

Oceń:

Komentarze (1)

Redakcja nie ponosi odpowiedzialności za treść komentarzy. Komentarze wyświetlane są od najnowszych.

~Anonim

2 października 2015, 08:44

W artykule bardzo widocznie wyszczególniono rodzaje informacji, które trojan wysyła na serwer cyberprzestępcom. Proponowałbym dla równowagi wypisać dane, które są użytkownikowi kradzione przez "cyberpolicjantów", oczywiście dla jego własnego dobra i "by dopasować ofertę do oczekiwań klienta". Tematyka urządzeń mobilnych jest mi raczej obca, ale jako słowo "firmware" rozumiem wewnętrzne oprogramowanie urządzenia, które umieścił w nim producent. W artykule napisano, że trojan "bywa wbudowany bezpośrednio w firmware urządzenia mobilnego" Czy umieścił go tam producent jeszcze w fabryce? Cóż to więc za producent?

czytaj więcej na forum »