Разбор вредоносной программы под Android на примере Trojan-Spy.AndroidOS.Zbot.a / Android.Smssniffer / Android/SpySMS / AndroidOS_SMSREP.B

[da_elf]

Блокировка домена нейтрализует такой троян 100%

Спасибо за статью, познавательно

[StirolXXX]

Отлично. Забаните этот домен — и что?

Скомпрометируют разработчика популярной игры, например Angry Birds, и выкатят обновление с трояном.
Причем для Angry Birds нужно еще только одно разрешение — получать SMS.

[NEMMO]

Статья понравилась, на счет бана домена, можно добавить функционал динамического домена, через тот-же twitter, вирус идет на twitter, читает последнее зашифрованное сообщение (в зашифровоном сообщении указан домен), проверять twitter на новые сообщение с доменом с указанным интервалом. Намного лучше будет смотреться, вероятность то что забанят аккаунт на twitter'e (не забанят, им все равно) намного меньше, чем забанят домен.

[ArtRoman]

Подробнее можно? Приложение не обновится, если обновление подписано другим сертификатом. Проверять сертификат (отпечаток) можно из кода (в т.ч другой программы, только требуется разрешение на это). Или вы что-то другое имели ввиду?

[StirolXXX]

А кто сказал что другим сертификатом подписывать будут?

При большом желании, и достаточном количестве денег — получат и сертификаты и прочее.
«Случайно» украдут сертификат и пароли, или под пытками выбью (ну я и закрутил).

У маркета ведь нету пре-модерации после обновления, верно?

[silvi]

«злоумышленник должен каким-то образом связать пользователя зараженного компьютера и зараженного телефона»
а социальные сети зачем

[Nc_Soft]

А реально сделать приложение, которое будет блокировать попытки отправить смс другими приложениями?

[proDOOMman]

В стоковых прошивках — не знаю, а вот в китайской MIUI такая фича из коробки. Она на подобные разрешения выдает запрос: разрешить/запретить.

[MakeInstall]

Это реально блокируется на уровне оператора.
А чтоб совсем не отправлялись, можно удалить еще и смс-центр.
А самое главное ставить программы только из маркета.

Это все правила, которые я выполняю, не прикословно.

[deseven]

Ваш оператор контроллирует приложения на вашем телефоне? Можно название и принцип действия?

[MakeInstall]

В личном кабинете Мегафона запретил все платные номера. Теперь с моего номера нельзя позвонить или отправить смс на платные(короткие) номера.

[deseven]

Гм, а вот это интересный подход, спасибо.

[MakeInstall]

В Андройде давно пора реализовать частичный запрет/разрешение доступа к функциям телефона. Типа Файервола… Который дает доступ программе на один IP доступ и даже порт…

А вот пример, в HTC Sens на HTC htc incredible, есть программа «ПОЧТА», она вшита в прошивку и ее нельзя удалить. Но если посмотреть ее права, то можно увидеть, что у почты есть доступ к СМС/ММС и отправке платных СМС. Вот вопрос, зачем?

[Pyjamec]

Удалить можно. Если рутануть девайс и дать права специальным прогам. Вообщем, гемморой, учитывая, что многие НТС-девайсы идут с защитой от получения рута. Пользуйтесь антивирусами, правда сложно сказать насколько они эффективны.

[Pyjamec]

Вообще, вся эта шумиха на счет троянов и т.п. на дроиде, на мой взгляд — преувеличение. Если вы знаете свой девайс, программы, которые могут быть полезны, то ничего такого не случится. Просто нужно почитать ресурсы хотя бы, а не спешить с покупкой и танцами вокруг девайса.

Я сколько не качал с маркета программки и сколько не брал готовые апки с сайтов — ничего не случилось. Никаких вирей и прочей нечисти. Кстати, возможно причина всех траблов — это рутованый девайс. Так попроще явно.

[deseven]

Рутованый девайс не дает возможности игнорировать систему разрешений при установке, при чем тут это тогда?

[Pyjamec]

А систему разрешений кто-то читает когда ставит программы из маркета? Редко редко. Ага, особенно девушки, да?
И при чем тут система разрешений? Ты ставишь программу — значит разрешаешь ей все. А если текст разрешений спрятан или большой, то тем более всем влом будет ее читать.

Рутованый девайс позволяет например удалить программы вшитые в трубку производителем(не всегда), менять некоторые изначально недоступные опции девайса, появляются доп настройки и возможности которых нет.

Погуглите и найдете много нового, ибо тут многое зависит от конкретного производителя.

[deseven]

Вопрос не в этом, а в том как конкретно доступ к руту может способствовать появлению подобных вирусов из апк, не надо мне объяснять что он дает, пожалуйста.

[Pyjamec]

Что непонятного?
Новые возможности появляются, которые можно использовать, ибо сделать можно чуть больше чем раньше.

А вообще, это было мое предположение в самом первом комменте и не более. Я не утверждал, что это 100% проверенная инфа, а предположил. Думаю теперь вопросов нет.

[deseven]

Жесть.
Вы победили.

[Pyjamec]

Чтобы не обижались:) +1 Вам:)

[pinkz1]

«Такое поведение может быть признаком банковского троянца, атакующего двухфакторную авторизацию»
А еще, таким вот нехитрым образом, можно подписать человека на увлекательную рассылку — «диета от малышевой» или «тайна твоей фамилии» всего за пару сотен рублей в неделю.

[ivanrt]

Вот он конец смс верификации новых учётных записей.