Irenica Jan 30 2016 at 01:01

Исследование распространенной малвари под Android

16 min

37K

Information Security *Java *Development for Android *Reverse engineering *

+27

Comments 59

dirtyHabrBobr Jan 30 2016 at 01:13

То есть — разом слились Agnitum, ClamAV, Comodo, McAfee, Microsoft, Panda, Symantec.
Делаем выводы

maaGames Jan 30 2016 at 09:29

Вывод: некоторые PC-шные антивирусы не пытаются искать вирусы в мобильных приложениях (там и написано, что «файл не распознан»).
Лично я не считаю это проблемой до тех пор, пока запуск зловредного apk в эмуляторе не будет вредить ПК.

amarao Jan 30 2016 at 02:06

Ещё раз к тому, что sms'ки от банка на смартфон — плохая идея. Отдельная симка в «тупозвонилке» (а лучше, nokia 3310, там точно никакого затаившегося смартфона нет) — и оно, внезапно, начинает реально работать.

ComodoHacker Jan 30 2016 at 21:45

sms'ки от банка на «тупозвонилку» — плохая идея для банка и 90% его клиентов.

amarao Jan 31 2016 at 03:19

Почему?

dirtyHabrBobr Jan 31 2016 at 13:55

Альфа насильно заменила смски push-уведомлениями, например

Irenica Jan 31 2016 at 14:25

Их содержимое тоже можно поймать

dirtyHabrBobr Jan 31 2016 at 16:10

Можно;
комментарий о том, что в nokia 3310 пушей нет

Irenica Jan 31 2016 at 16:12

На нее и малвари нет.
А вообще если бездумно совершать какие-либо действия ничего хорошего не будет, не зависимо от модели телефона

Lure_of_Chaos Jan 30 2016 at 12:07

История мошенника-неудачника. Более половины возможностей не раскрыты.
Явно расчет на то, что и этого хватит для рядового пользователя. И это действительно так.

С падением грамотности пользователей, падает уровень старания «кулхацкеров», хорошо это или плохо?
ТС, как Вы считаете?

Irenica Jan 30 2016 at 15:00

Для ответа на этот вопрос надо проанализировать еще десяток apk. Не судить же по одному всех.

Если этому боту добавить резет, скрытие себя в списке приложений и автовключение интернета, то этого будет хватать.

artemgapchenko Jan 30 2016 at 12:08

Тут следовало бы использовать case, но автор не в курсе, как сравнивать строки в JAVA

Или он не в курсе, что на Андроид давно уже завезли Java 7, и строки в switch теперь можно использовать. Или же зловред писался пару лет назад, когда можно было использовать только Java 6.

Lure_of_Chaos Jan 30 2016 at 12:15

Еще нужно учесть широту распространения, не только на последние (флагманы) девайсы, но и доставить «радость» тем, на чьи устройства производители положили болт.

artemgapchenko Jan 30 2016 at 12:32

switch на строках доступен начиная с Android 2.2 (пруф, смотреть 'ADT 22.6.0'), а Android Dashboards не учитывают ничего, младше 2.2. Похоже, что устройств, на которых новый switch не заработает, настолько мало, что можно было бы не заморачиваться.
Хотя я зловредов не писал, и мотивации создателей не знаю — может быть они как раз озабочены тем, чтобы их код выполнялся на максимальном количестве устройств.

Lure_of_Chaos Jan 30 2016 at 12:39

> озабочены тем, чтобы их код выполнялся на максимальном количестве устройств.
Да. Минимальная версия Андроид на нышешний момент, если не ошибаюсь, оценивается 2.3.2

Irenica Feb 1 2016 at 19:20

По манифесту минимальная поддерживаемая версия 2.2

Irenica Jan 30 2016 at 14:52

Код надо рефакторить и обфусцировать не зависимо от того, когда он был написан. После количество ав детектов будет стремиться к нулю

dirtyHabrBobr Jan 30 2016 at 15:44

Не удержался

Calc Jan 30 2016 at 19:19

А вы не думали, что люди, которые пишут такое ПО сознательно допускают такие глупы вещи?
По исходному коду можно понять кто писал и на каком уровне.
А тут просто смена почерка.
Либо это был одноразовый заказ у студента. Кто будет поддерживать малварь, если ее рано или поздно найдут?

Irenica Jan 30 2016 at 19:26

Намеренные ошибки исключены. Это не опытность. По исходному коду максимум уровень определить. А вот пол, возраст, локацию, имя не получиться.
Предположим, существует разработчик, который пишет вот таких зверей и публикует легальные приложения в google play. Пишет все в едином стиле. Как вы его найдете и докажете, что автор именно он?

Calc Jan 30 2016 at 19:33

знание языка (английский, немецкий, полное незнание), знание языков программирования (зачастую по JAVA можно сказать знает человек PHP или нет)
Любые ляпы в коде могут спалить местопложение (по неопытности, например тестовый сервер)
Можно даже общие черты характера выявить.
Можно узнать ресурсы, которыми пользовался программист (неопытный), часто люди тупо копируют куски кода. Ресурс — прямая дорога к IP. Опытный программист сможет определить сколько людей работало над проектом (один или больше).
Но это долго, дорогу, муторно и большая работа специалистов.
Это у нас делать ни кто не будет.
А доказательная база — работа других органов. Надо сначала найти человека, а потом идет доказательство.
Просто когда уже есть начальная «карта» клиента, то уже многое проще становится.

Irenica Jan 30 2016 at 19:39

Если посмотреть сводки новостей по таким работникам, то ловят не разработчика, а обнальщика и/или владельца ботнета.
Бот работающий по сбербанку и так ожидаемо, что разработчик из РФ или СНГ. Но дальше не пойдет.
IP, не известна дата написания бота и время за которое он был написан.
Будет огромное количество адресов. Это тупик

Calc Jan 30 2016 at 19:43

Это для вас тупик.
А ФСБ делают запросы (раза 3 за 10 лет было) «список всех IP, кто в таком то году в таком то месяце заходил на такой сайт». И пофиг что их там 10 000 и больше.
Просто тут идет речь о маленьких деньгах, а когда так миллионы утекают — сразу по всем направлениям начинают трясти.
Отсюда и попадаются всякие обналичивальщики и другие. На них и выходят по этим мелким зацепкам.

Irenica Jan 30 2016 at 19:50

А хоть один пример такой спец операции будет?

Calc Jan 30 2016 at 19:54

Где же я его вам возьму. Я не СМИ и не ФСБ
Я рассказал о своем опыте о работе с людьми оттуда.
3 случая — официальных.
Остальные были по знакомству и не официально.
Они даже не дают информации помогла ли полученная информация или нет. Это всё секрет следствия.
А так 1 убийство 2х годовалой давности и какая то крупная кража у коммерческой фирмы точно были раскрыты.

mickvav Jan 31 2016 at 20:21

Ловить программера им, скорее всего, не очень интересно. Из заказчика можно вытрясти 90% его профита за непередачу дела в суд. А из программера даже весь его гонорар будет много меньше.

dmitrmax Jan 30 2016 at 20:58

А вам не приходило в голову, что человек просто всю жизнь писал на С, а тут решил подзаработать на андройде? Он же не на работу устраиваеться, чтобы демонстрировать свои познания Явы )

-1

NickAb Jan 31 2016 at 13:27

Кажется, мы нашли разработчика

Bo_bda Jan 30 2016 at 12:40

а можно апкшу получить, уж больно интересно что внутри после всех All хочется увидеть еще перлы?

foxyrus Jan 30 2016 at 14:19

Вот мне пришло drive.google.com/open?id=0B-mGnDlvCrxFYXg5NFRoeUNfMEE

Irenica Jan 30 2016 at 20:12

Ваша малварь не доступна. We're sorry. You can't access this item because it is in violation of our Terms of Service.

Bo_bda Jan 31 2016 at 02:16

а можно все таки апк =( а то реально доступа нет

Irenica Jan 31 2016 at 02:27

Отправила в личку

foxyrus Jan 30 2016 at 14:14

Меня больше всего волнует почему Avito не борется с автоматическим парсингом номера, сам столкнулся с такой смс и вирусом по ссылке, потом написал письмо в поддержку, оттуда пришла стандартная отписка

ответ поддержки

Спасибо за письмо.
Avito — один из самых посещаемых сайтов в России.
Пользователи размещают свои контактные данные в объявлении для того, чтобы потенциальные покупатели могли оперативно обратиться к владельцу объявления.
Когда вы размещаете в объявлении телефон, он становится доступен любому пользователю сайта.
К сожалению, не все пользователи сайта используют полученные контактные данные с целью приобретения товара.
В сложившейся ситуации мы рекомендуем вам с помощью сервисов вашего мобильного телефона занести в черный список номер, с которого приходит нежелательная рассылка.
Обращаем ваше внимание на то, что размещая объявления на нашем сайте, Вы соглашаетесь с пользовательским соглашением, в пункте 4.3 которого указано: «Размещая на Avito Объявления, Пользователь делает Сведения, указанные в Объявлении, общедоступными и понимает, что размещенная информация публикуется на Avito в открытом доступе, то есть доступна для ознакомления любому посетителю Avito (неограниченному кругу лиц) на территории всех стран мира, где имеется возможность использования сети Интернет и доступа к сайту, соответственно Пользователь понимает и принимает на себя все риски, связанные с таким размещением информации, в том числе, включая, но не ограничиваясь: риск попадания адреса электронной почты в списки для рассылки спам-сообщений, риск попадания адреса электронной почты к различного рода мошенникам, риск попадания телефонного номера к SMS-спамерам и/или SMS-мошенникам и иные риски, вытекающие из такого размещения информации».

Irenica Jan 30 2016 at 15:12

Это же не мешает их работе