How to become an author
Search
Write a publication
Pull to refresh

Comments 89

«Разработчики вирусов находят все новые лазейки»
А в чем новизна? Всё тот же старый добрый метод «на дурака»: скачай вирус, проигнорируй все предупреждения о небезопасности содержимого от ОС, сам установи, наслаждайся результатом.
Total votes 58: ↑57 and ↓1+56
UFO just landed and posted this here
% дураков неизменный, а вот людей стало больше, это да.
Total votes 1: ↑1 and ↓0+1
Увеличился % дураков со смартфонами.
Total votes 14: ↑14 and ↓0+14
То время, когда телефоны стали умнее хозяинов.
Total votes 18: ↑18 and ↓0+18
А один из «законов Мерфи» гласит:

Количество интеллекта на планете — величина постоянная. А на селение растёт…
Total votes 5: ↑4 and ↓1+3
Это я не досмотрел за автозаменой
Total votes 2: ↑1 and ↓10
Нигде в статье не написано, что общий подход с заражением претендует на новизну. По-сути данный смс-вирус — это все тот же метод социальной инженерии. Лучший друг/подруга прислал(а) ссылку на фото. Друзья ведь плохого не посоветуют…
То что пользователь заразился по невнимательности/доверчивости уже рассматривается, как произошедшее событие.
В выводе имеется в виду, что в целом, разработчики вирусов ищут и находят новые лазейки (уязвимости). Применительно к данной статье, новое — это изменение текста в системном сообщении и обильное покрытие его системными окнами. Лично я использования такого подхода на андроиде не видел.

Total votes 5: ↑4 and ↓1+3
Лазейки все старые, спросите у Митника. Данная программа не эскплуатирует никаких уязвимостей системы, вы ей предоставили права администратора устройства, она вам меняет системные сообщения, все честно и вполне открыто. Уязвимость только в пользователе, ничего нового в этом нет.
Total votes 12: ↑12 and ↓0+12
А в чем новизна?

Исключен этап «скомпилировать»
Total votes 6: ↑4 and ↓2+2
Не разу еще не ловил вирус на свой телефон. Подскажите все ли вирусы нужно устанавливать таким образом? Если да, то каким идиотом нужно быть чтобы подхватить вирус на Android?
Total votes 15: ↑13 and ↓2+11
не факт, что все так же. но идиотом совсем не обязательно быть, можно просто быть среднестатистическим пользователем, для которого FOTO_ALB0M.apk не может содержать ничего кроме фотографий, и для которого список разрешений — непонятное окно, содержащее кучу ненужной информации, где главное найти кнопку ОК/продолжить.
Total votes 8: ↑8 and ↓0+8
Давно уже пора пойти дальше чем FOTO_ALB0M.apk. Действительно эксплуатировать уязвимости Андроида.
Например: Выкатить в Гугл Плэй, какую-нибудь программу которая устанавливает игры на смартфон (или что угодно). При первом запуске предлагает скачать список всех игр (отдельным apk или модулем), пусть даже эта программа и ставит всякие Тетрисы (марио). Но параллель еще качает патченый Framaroot на MTK устройства, активирует рута. Качает патченый суперюзер (без системных окошек), кастует права на зловредную программу. Та прописывается в системные приложения. Качает себе модуль торента, рассылки спама и пр. «ништяки. Начинает раздавать себя по торенту, для новых пользователей, параллельно занимается рассылкой спама и смс-ками на платные номера и пр. пакастью тихонечко. При следующей перезагрузке сносит суперпользователя, и остается тихонько пакостить. Эдакий ботнет на MTK устройства и пользователь играет в „тетрис“, ну не может его удалить потому, что это системное приложение „да и хай с ним пущай стоит“. И сервис тихонечко делает свои дела.
Total votes 5: ↑5 and ↓0+5
Да годик легко продержится. Есть программы которые докачивают доп. модули, не из Маркета, и вполне нормально и долго существуют, например Disa IM, никаких претензий у Гугла не возникает. Учитывая, что приложение будет нацелено только на МТК устройства, остальные пользователи не будут испытывать проблем, ну скачают ну посмотрят ну удалят, ну оставят отзывы нейтральные в Плэй Маркете, тем лучше. Можно вообще наглым стать и сделать приложение платным :)
Total votes 7: ↑2 and ↓5-3
Такое приложение исчезнет из плея вместе с аккаунтом разработчика в течении недели.
This comment wasn’t rated yet0
Если да, то каким идиотом нужно быть чтобы подхватить вирус на Android?

Таким же, который запускает image.exe в Windows.
Total votes 6: ↑6 and ↓0+6
Windows без антивируса предупреждает пользователя, что приложение может нанести вред компьютеру и не рекомендует его устанавливать?
Total votes 3: ↑1 and ↓2-1
Вообще-то, да
image
Total votes 6: ↑5 and ↓1+4
UAC, появившийся в Vista именно для этого и предназначен.
Total votes 1: ↑1 and ↓0+1
SmartScreen из модных… В Windows 8 появился. По функционалу похож на гугловский Verify Apps — отправляет куда-то в Microsoft на проверку. Кроме того «Файл %filename.exe% скачивается редко и может причинить вред компьютеру» — без комментариев, просто факт из IE11.
Chromium, кстати говоря, оказался более непримиримым: %filename.exe% is malicious, and Chromium has blocked it. Из загрузок можно, конечно, восстановить «recover malicious file»->«Recover malware? This file will harm your computer. ...» -> «Hurt me plenty» (button). И все это из-за лично собранной на коленке программы, что будет перезапускать раз в N секунд скрипт (не имеющий отношение к программе), нажатием одной клавиши?))
Total votes 1: ↑1 and ↓0+1
Бедный котёнок. Автор вируса изверг.
Total votes 11: ↑8 and ↓3+5
да лааадно, он же не в стакане…
Total votes 2: ↑2 and ↓0+2
Почему вирус? Троян же. Сам скачал, сам запустил, сам разрешил. Вирус самостоятельно должен распространяться, файлы инфицировать. От сюда и название.
Total votes 3: ↑3 and ↓0+3
вирус звучит более устрашающе )
я не очень в теме, а под андроид есть ли какие-то настоящие вирусы, для которых не нужно скачал/запустил/разрешил?
This comment wasn’t rated yet0
Да, вы правы, троян.
Для специалистов в области информационной безопасности непростительный ляп.
Но для обычных пользователей слово вирус привычнее. Поэтому пришлось пойти на преступление и выдать желаемое за действительное. Уж, простите.
Total votes 13: ↑7 and ↓6+1
Ура! Хабр — для домохозяек!
Total votes 16: ↑15 and ↓1+14
Нет, за такое не прощают. Во имя Тьюринга, Фон-Неймана и Товальдса, используйте правильную терминологию! А то из за таких-вот популяризаторов неправильный термин и закрепился.
Total votes 6: ↑6 and ↓0+6
Признаю свою вину, меру, степень, глубину.
Total votes 1: ↑1 and ↓0+1
А смс-ку отправлял кто? Вирус же и отправлял по всем контактам. То есть он сам распространяется.

Если бы участие человека вообще не требовалось — это был бы уже сетевой червь.
Total votes 1: ↑1 and ↓0+1
Вообще говоря, тот же Love Letter распространялся точно по такому же механизму, и назывался червем. Троян — это когда пользователь сам качает с файлообменников.
This comment wasn’t rated yet0
я правильно понял, максимум с десятой попытки можно будет к вам дозвониться?
Total votes 3: ↑3 and ↓0+3
Да, теперь все домохозяйки будут знать, к кому обращаться )
Автору явно не стоило светить свой номер.
This comment wasn’t rated yet0
А кто вам сказал, что это мой номер?
Мой номер в начале статьи с закрытой последней цифрой, и то рабочий.
В скриншоте браузера используется случайный номер.
Total votes 3: ↑2 and ↓1+1
> с закрытой последней цифрой
> максимум с десятой попытки
Это и имелось в виду.
Total votes 4: ↑4 and ↓0+4
«Вы ошиблись, это не я писал ту статью на хабре». И так по всем десяти.
Total votes 1: ↑1 and ↓0+1
Есть же безопасный режим. Долгий тап по кнопке Отключить питание.
Total votes 3: ↑3 and ↓0+3
UFO just landed and posted this here
Сейчас покручу, если автор не против.
Total votes 1: ↑0 and ↓1-1
Не против.
Троян с зараженного устройства рекурсивно рассылает смс «привет. тебе фото...» всем контактам из телефонной книги. Причем, после перехода по ссылке твой номер помечается, как зараженный и больше на него смс не приходит.
Total votes 2: ↑1 and ↓10
Это тоже Сбербанковский троян. Отправляет сообщения на номер 900.
This comment wasn’t rated yet0
В общем, в вирусе используется своя реализация base64 для декодирования, как я понял, одной единственной строки — домена CnC *******.ru (на данный момент сервер почти не отвечает).

Вирус умеет отправлять на сервер информацию о телефоне, получать СМС от Сбербанка, получать номера входящих звонков, перехватывать СМС, посещать ссылки, звонить, обновлять себя (в /mnt/sdcard/download/update.apk), ну и распространять себя по телефонной книге.
Еще есть глупенькая проверка на запуск внутри sandbox или эмулятора.
Total votes 2: ↑2 and ↓0+2
Нет, это не тот же самый.
Total votes 1: ↑1 and ↓0+1
Еще Касперским прогоните для полноты картины.
И проверьте их реакцию если они будут установлены перед установкой зловреда.

И активные ссылки бы убрали. Мало ли что у них там.
Total votes 1: ↑1 and ↓0+1
Автор, у вас друзья — работники спецслужб РФ. Вы там поосторожнее.
В Украине Android-пользователей атаковал SMS-вирус
Комментарий пресс-службы СБУ:

Служба безопасности Украины предупреждает, что в течение последних суток с российских информационных ресурсов происходит спланированная спецслужбами РФ информационная диверсия по заражению вредительскими программными продуктами мобильных телефонов украинских граждан.

СБУ установила, что с помощью этого вируса преступно собирается информация об IMEI (уникальный номер терминала) инфицированного телефона, балансе счета и персональных данных простых граждан. Именно эти данные могут быть использованы для массовой DoS-атаки на определенные ресурсы.
Total votes 12: ↑7 and ↓5+2
«Теория шести рукопожатий»?
Total votes 2: ↑2 and ↓0+2
О да! Пропаганда, такая пропаганда. Думал помру со смеху когда случайно услышал это по «ящику»
Total votes 6: ↑5 and ↓1+4
Нет худа без добра — теперь вы знаете, как правильно относиться ко всему. что вы слышите по «ящику».
This comment wasn’t rated yet0
То, что говорят головы в «ящике» очень часто приходиться делить на 8/16/32, а потом и перепроверять т.к. в конкретном случае на субъективность журналистов накладывается ещё и «ура патриотизм»
This comment wasn’t rated yet0
Для простых пользователей, когда они хотят включить установку из непроверенных источников, надо включать принудительный видео ролик, рассказывающий о подобных зловредах.
Ведь почему они такие доверчивые? Они просто не знают, что какая-то опастность существует.
А так грамотность точно повысится. Другое дело, что это будет сложно реализовать…
This comment wasn’t rated yet0
Проблема ещё в том, что многие приложения реально требуют таких прав. На счёт администратора спорно, так как если пользователю понадобилось такое приложение, то он уже продвинутый пользователь, и в большинстве случаев знает, что делает.

А вот доступ в интернет, к звонкам, телефонной книге, к карте памяти и т.д. — стандартное поведение большинства нормальных приложений. А предупреждающее окно одно и то же. То есть пользователей надо ещё научить как-то идентифицировать угрозу не только по источнику (даже установка с Google Play не всегда безопасна), но и по другим признакам, зачастую косвенным (к примеру, зачем калькулятору понадобилась телефонная книга?)
Total votes 5: ↑4 and ↓1+3
зачем калькулятору понадобилась телефонная книга?

Отослать результат вычислений другу по смс? :)
Total votes 1: ↑1 and ↓0+1
Как-то захотел установить «фонарик» (включатель «вспышки»). Перебрал с десяток вариантов и был озадачен тем, что все требую целую кучу разрешений (начиная с контактов и заканчивая доступом в Интернет). Не совсем понятно чем при этом руководствуются разработчики. Лично меня настораживает такое поведение программы и я предпочту ее не устанавливать и не использовать.
Total votes 3: ↑3 and ↓0+3
Ну с доступом в интернет можно смириться — хотят рекламу гнать. Остальное действительно не понятно.
Total votes 2: ↑2 and ↓0+2
Просто Android-кодеры обленились, программы уже никто не набирает средствами одного лишь Android SDK, все пользуются фреймворками, которые как раз и требуют кучи разрешений (особенно если не озаботиться даже минимальной настройкой проекта).
Вот и выходит, что обычный фонарик весит от 20Мб, требует всех разрешений, какие только существуют в природе, и жрёт столько процессорных ресурсов, что пользователю приходится надевать асбестовые перчатки.
Total votes 2: ↑2 and ↓0+2
А, вон оно как. Ситуация, как и с большим братом. Но там это хотя-бы оправдано.
Total votes 1: ↑1 and ↓0+1
ИМХО, нигде не оправданы калькуляторы однофункциональные приложения, которые весят 20+ мегабайт и требуют полного набора дотнет фреймворков, часть из которых уже не установится на целевую ОС, и часть из которых еще не установится на целевую ОС (пришлось попотеть как-то раз с установкой старых дотнет фреймворков на Windows 8… врагу не пожелаешь).
Total votes 2: ↑1 and ↓10
А что там с эмуляцией ресурсов системы? Я хочу, к примеру, дать программе доступ к одной папке — и чтобы она думала, что это целая SD-карта. Хочу дать доступ в интернет по прописанным мной маскам — и чтобы приложение думало, что так и должно быть. Хочу дать доступ к фейковому слоту для SMS и к фейковым пайпам голосового ввода-вывода вместо реальных.
Это бы сильно помогло в отладке и сильно повысило безопасность системы.

А то когда для подобной платформы начали появляться антивирусы, это почти что роспись Гугла в неспособности организовать вменяемые механизмы изоляции процессов, ресурсов и данных.
This comment wasn’t rated yet0
А что там с эмуляцией ресурсов системы?

Таки да, это к гуглу. Но ось ориентирована на обычного пользователя, и скорее всего этого не сделано, чтобы упростить им жизнь, а то наэмулируют. Хотя вполне можно разделить функционал на несколько уровней сложности.
This comment wasn’t rated yet0
В некоторых устройствах что бы включить установку из непроверенных источников нужно стать разработчиком. Из того, что мне попадалось (Lenovo сток RU вроде бы) нужно тапнуть 10 раз по строке версии в Settings-About.
Меня этот подход несколько раздразил, т.к. я 10 минут не мог найти привычный чекбокс, без которого AdFree не ставится, но возможно для рядового пользователя это даже полезно.
Total votes 1: ↑1 and ↓0+1
Ув. автор, вы забыли упомянуть, что у вас стоит галочка «Разрешить установку из непроверенных источников».
Total votes 2: ↑1 and ↓10
Ув. пользователь, в выводе это упоминалось. Для того, чтоб «не искать» добавил в тело поста.
Total votes 2: ↑2 and ↓0+2
Я — Албанский вирус, но в связи с очень плохим развитием технологии в моей стране к сожалению я не могу причинить вред вашему компьютеру.
Пожалуйста будьте так любезны стереть один из важных файлов с вашего компьютера самостоятельно и перешлите меня другим, можно просто ссылку на меня.
Заранее благодарен за понимание и сотрудничество.

Теперь и для андроида!
Total votes 11: ↑11 and ↓0+11
Мне не совсем понятно зачем вирус тестить вот так вот прямо в боевых условиях.

Если у вас не пошла скачка по директ-линку с компа, то разве не проще подменить user-agent + реферер? То есть просто напросто передать замаскированный запрос?

Причем я бы не рискнул проводить такое даже со своего компа (разве что только с вм), вдруг там связка стоит а вы вот так лезете… Просто пишите скрипт на том же curl например, пара заголовков, строк 10 кода и все, .apk-файл у вас скачан на сервер, а в случае риска со связкой так курлу на нее все равно.

Ну и далее лучше сперва расковырять сам файл, а уж только потом запускать, примерно представляя что он будет делать.
Total votes 3: ↑2 and ↓1+1
А если и хочется побороться с вирусом в боевых условиях, то есть же avd. Запустил виртуалочку — и хоть целый зоопарк плоди там.
Total votes 2: ↑2 and ↓0+2
avd

Есть даже попроще вариант: Bluestacks. И даже есть x86 версия под любую виртуалку.
А троян не может понять, что его запускают не на реальном устройстве, а на виртуальной машине? Помнится у некоторых вирусов для PC была такая проверка.
This comment wasn’t rated yet0
То есть просто напросто передать замаскированный запрос?
Что такое «замаскированный запрос»?

вдруг там связка стоит а вы вот так лезете
Что такое «связка»?

Просто пишите скрипт на том же curl например
Что такое «скрипт на curl»?

а в случае риска со связкой так курлу на нее все равно.
Риск с чем? Что такое «курл»?
Total votes 10: ↑2 and ↓8-6
Что такое «замаскированный запрос»?

Замаскированный под браузер андроида (или что там у автора) запрос. Обычный http запрос с подделанными заголовками user-agent и referer.
Что такое «связка»?

Связка, сплойтпак, експлойт-пак, exploit-pack — это комплекс серверных и клиентских скриптов (и не только), способных пробить ваш браузер и загрузить на компьютер или другое устройство заразу без вашего ведома.
Что такое «скрипт на curl»?

Скрипт на курле (curl) это как пример автоматизированной скачки, можно скачать apk файл и другими способами, просто курл это как швейцарский нож при работе с http, заголовки андроидного браузера там подделать проще простого.
Риск с чем? Что такое «курл»?

Риск с тем, что если вы зайдете на зловредную страницу для андроидов — она может оказаться зловредной не только для андроидов и заразить ваш компьютер (если вы это сделаете без виртуальной машины и других мер безопасности). Обычно у связок выдается javascript-роутер который проверяет устройство/браузер на версии и плагины и исходя из этого выдает нужный эксплойт.
Короче говоря, курл не подвержен пробиву никакой известной на данный момент связкой, поэтому загружать им зловредов и ходить по левым ссылкам безопасно.
Total votes 2: ↑1 and ↓10
Замаскированный под браузер андроида
Жду статью «маскируем запросы под браузеры».

комплекс серверных и клиентских скриптов (и не только), способных пробить ваш браузер и загрузить на компьютер или другое устройство заразу без вашего ведома
Также жду статью «пробитие браузера». С примерами таких скриптов, которые способны.

Скрипт на курле (curl)
Вы, видимо, из тех, кто говорят «ок», «эксéль», «язык программирования Це плюс плюс» или даже «я программирую сайты под аштиэмэль»?
Читается «кёрл»: en.wiktionary.org/wiki/curl#Pronunciation

Раз уж вы теперь в курсе, как читается cURL, то и вы нас, пожалуйста, научите скриптовому языку программирования «curl». Интересно же, очень! И как обычно, жду статью.

Риск с тем, что если вы зайдете на зловредную страницу для андроидов — она может оказаться зловредной не только для андроидов и заразить ваш компьютер (если вы это сделаете без виртуальной машины и других мер безопасности). Обычно у связок выдается javascript-роутер который проверяет устройство/браузер на версии и плагины и исходя из этого выдает нужный эксплойт.
Короче говоря, курл не подвержен пробиву никакой известной на данный момент связкой, поэтому загружать им зловредов и ходить по левым ссылкам безопасно.
Пожалуй, статья о массовых, повсеместно работающих (то есть 0-day, не закрытых) уязвимостях в браузерах, позволяющих выполнять произвольный код просто при переходе по ссылке, или, как вы их называете, связками, будет также очень интересна всем хабражителям.

Вы вообще почему уверены, что подобные дыры существуют? Я вам из-под суперпользователя зайду на любую страницу, какую вы только назовёте, окей? Чтобы вообще закрыть эту тему.

«Хакер» в сабжевом случае полагается исключительно на недалёкость пользователя, которому для того, чтобы привести «вирус» в действие, необходимо двадцать раз проигнорировать все предупреждения.

И вы в таком случае действительно думаете, что если пройти по ссылке в любом современном браузере, то хакер сразу же пробьёт ваш браузер, проникнет на ваш компьютер, обойдёт системы защиты,^W^W^W получит права суперпользователя, удалит все данные, испортит BIOS, и через вредный кинескопный экран пошлёт смертоносные лучи пользователю прямо в моск?

           

Честно говоря, повеселили, спасибо. (^_^)
Total votes 12: ↑3 and ↓9-6
уязвимостях в браузерах, позволяющих выполнять произвольный код просто при переходе по ссылке

Мне вот вспоминается недавняя атака на Tor через уязвимость в Firefox, входящий в состав TBB. Там как раз выполнялся определенный код, который демаскировал IP адрес пользователя (конечно, если тот не включил NoJS).
Да, один раз я умудрился подцепить винлокер просто зайдя на страницу (браузер был Opera, версия 12). То есть компьютер тут же ушел в ребут, а после загрузки выскочил винлокер. При этом был включен UAC и антивирус.
Так что такое возможно.
Total votes 1: ↑1 and ↓0+1
Ну у вас еще много открытий впереди. И да, судя по вашему ответу — просто совет, сделайте бекап важных данных.
Total votes 2: ↑1 and ↓10
Ну у вас еще много открытий впереди.
Ага, и на порядок больше, если я продолжу читать ваши комментарии.

А про бекап шутку не понял. Вы таки собрались меня взламывать? :D

P. S. Хабр всё же уже не тот…
Total votes 5: ↑1 and ↓4-3
Мне незачем вас взламывать. Просто с вашей логикой вы рано или поздно можете поймать зловреда, поэтому и совет — сделайте копию данных.
This comment wasn’t rated yet0
Просто с вашей логикой вы рано или поздно можете поймать зловреда
О господи, вы это серьёзно?

Человек, если вы ещё не поняли, вы на хабре. Коллективном блоге IT-профессионалов. Угу?
Total votes 6: ↑1 and ↓5-4
Это отличный способ увидеть и почувствовать все то, что видит и чувствует при установке трояна обычный пользователь. Если есть отдельное устройство, на котором можно все протестировать «вживую» с минимальным риском, то зачем все усложнять?
Total votes 3: ↑3 and ↓0+3
Трояны тестируются в полевых условиях, безусловно. Но не так. За редким исключением компьютерные криминалисты будут запускать подозрительный файл в рабочем пространстве пусть даже чистого компьютера. Обычно все это делается в виртуалках.
Total votes 1: ↑1 and ↓0+1
по поводу удаления… а что мешало подключить телефон к компьютеру и написать adb uninstall [package name]?
This comment wasn’t rated yet0
Ну, это, конечно, скорее всего решит проблему, да и данные буду сохранены… но OP вроде бы пытался найти алгоритм, по которому сможет относительно просто проследовать любой заразившийся пользователь (а как мы уже поняли, такие пользователи не очень умны хотя бы потому, что смогли заразиться). А с подключением планшетника к компьютеру у некоторых людей может возникнуть проблема просто за неимением компьютера, то есть до установки adb дело может и не дойти…
Total votes 1: ↑1 and ↓0+1
Вирус? Не увидел никаких вирусовых свойств у этой программы. Я думаю это просто вредоносная программа.
This comment wasn’t rated yet0
Вирус, троян и червь — это не вредоносная программа?
Я просто оставлю это здесь вредоносная программа, она же малварь, она же «зловред».
Как уже было отмечено в комментариях mayorovp (см. выше), данный зловред, помимо того, что он относится к группе троянов, обладает и вирусными свойствами — рассылает ссылку на себя другим пользователям.
А смс-ку отправлял кто? Вирус же и отправлял по всем контактам. То есть он сам распространяется.
This comment wasn’t rated yet0
Вы в обратную сторону мыслите. Это есть вредоносная программа, но не думаю что это вирус, о чем и сказал. Я согласен с тем, что вирус, троян и червь — это вредоносная программа, и о том не спорю.
This comment wasn’t rated yet0
человек хотел суть передать а вы к слову уцепились вирус это или нет, какая разница как его назвать? Видать спецы большие
This comment wasn’t rated yet0
Sign up to leave a comment.

Articles

Your account

Sections

Information

Services

Support
© 2006–2024, Habr