10 milionów szkodliwych aplikacji mobilnych

Przeczytaj także: 10 lat złośliwego oprogramowania na urządzenia mobilne

Mały szkodnik, wielkie możliwości

W połowie 2013 roku trafiła do nas do analizy aplikacja dla Androida. Kod programu był zaciemniony, a pliki DEX zaszyfrowane, co utrudniało analizę. Nasze przypuszczenia były słuszne, Obad – bo tak go nazwaliśmy - okazał się być najbardziej zaawansowanym mobilnym szkodnikiem, z jakim mieliśmy do tej pory styczność. Możliwości trojana są ogromne:

• wysyłanie SMS-ów na numery premium,
• pobieranie innych szkodliwych programów,
• wysyłanie złośliwych aplikacji na nowe urządzenia za pośrednictwem Bluetootha,
• zdalne wykonywanie poleceń w konsoli.

Tak jak wspominaliśmy wcześniej, cyberprzestępcy, którzy stworzyli Obada, posłużyli się bardzo zaawansowanymi technikami maskowania. Samo zaciemnianie kodu nie jest niczym nowym, jednak w przypadku tego szkodnika zostało przeprowadzone nad wyraz profesjonalnie. Obad wykorzystuje błędy znalezione w platformie Android, co pozwala mu m.in. na ukrycie swojej obecności w systemie tak, że nie jest on widoczny na liście zainstalowanych aplikacji. Szkodnik uzyskuje także prawa administratora, co uniemożliwia usunięcie go w standardowy sposób. Jest on więc niemal niewidoczny dla użytkownika – jedynym, co może go zdradzić jest "zamrożenie" ekranu na około 10 sekund w momencie włączania przez Obada modułu Bluetooth w celu rozszerzenia infekcji na inne urządzenia.

Spotkałem się z opinią, że jeżeli ktoś nie ma w smartofnie włączonej opcji przesyłania danych, to szkodliwe oprogramowanie nic nie zrobi, bo nie ma jak wysyłać i odbierać informacji od twórcy. Jest to bardzo błędne i krótkowzroczne stwierdzenie. Po pierwsze, jeżeli już dojdzie do infekcji, szkodnik może wysyłać SMS-y na numery premium nawet kilka razy dziennie. Po drugie opisany wyżej Obad, jest w stanie przyjmować polecenia i wykonywać je poprzez SMS-y, co dodatkowo podkreśla poziom zaawansowania tego trojana.

Innym przykładem szkodliwego oprogramowania, które jest w stanie wyrządzić ogromne szkody, jest koń trojański ZeuS. W tym przypadku straty nie ograniczają się jedynie do urządzenia mobilnego/komputera. Twórcy szkodnika atakują konta bankowe i w ten sposób narażają użytkownika na utratę oszczędności. Procedura ataku ZeuSa jest następująca:

1. Infekcja tradycyjnego systemu operacyjnego.
2. Podmiana niektórych elementów strony banku.
3. Wyświetlenie fałszywych komunikatów o konieczności zainstalowania certyfikatu bezpieczeństwa na urządzeniu mobilnym.
4. Zainfekowanie urządzenia mobilnego.
5. Przechwytywanie haseł wysyłanych przez bank do klienta.
6. Autoryzacja przelewów na dowolny rachunek.

Infekcja tradycyjnego systemu operacyjnego

System może zostać zarażony na kilka sposobów. Najczęściej dochodzi do tego w momencie odwiedzenia szkodliwej witryny lub pobrania pliku z trojanem. Niektóre wersje ZeuSa były rozsyłane także jako załącznik wiadomości e-mail.

Podmiana pewnych elementów strony banku

Gdy użytkownik zainfekowanej maszyny próbuje połączyć się ze stroną banku, ZeuS wykrywa tę aktywność i modyfikuje pewne elementy witryny w przeglądarce. W ten sposób hasło podane przez użytkownika jest w rzeczywistości przekazywane cyberprzestępcy. Na poniższym przykładzie widać fałszywą stronę logowania podmienioną przez konia trojańskiego. Warto zwrócić uwagę, że wymagane jest podanie pełnego hasła, a nie wybranych znaków, jak ma to miejsce na prawdziwym formularzu.

Po podaniu hasła użytkownik widzi kolejne komunikaty, które zachęcają do podania modelu i marki telefonu w celu zainstalowania certyfikatu bezpieczeństwa. W rzeczywistości jest to szkodliwy program przeznaczony na smartfony.

Infekcja urządzenia mobilnego

Na podany przez użytkownika numer telefonu zostanie wysłany SMS zawierający odnośnik do pobrania „certyfikatu”. Cyberprzestępcy stworzyli ZeuSa na różne platformy. Istniała wersja na Androida, BlackBerry, Symbiana oraz Windowsa CE.

Przechwytywanie haseł wysyłanych przez bank do klienta

Od momentu instalacji fałszywego certyfikatu wszystkie SMS-y wysyłane z banku do klienta są przekazywane do przestępcy. Właściciel konta nie otrzymuje nawet powiadomień o przychodzących SMS-ach. Kody jednorazowe mTAN będące dodatkową formą uwierzytelnienia są wysyłane bezpośrednio do autora szkodnika.

Autoryzacja przelewów na dowolny rachunek

Opisany sposób pozwala osobom trzecim z powodzeniem uzyskać dostęp do środków zgromadzonych na koncie. Login i pełne hasło zostało podane na początku ataku, a SMS z kodem jednorazowym zostanie przekazany przez szkodliwe oprogramowanie zainstalowane na telefonie właściciela konta, w trakcie realizacji przelewu przez atakującego.

Mimo, że ZeuS został odkryty kilka lat temu, w dalszym ciągu powstają jego nowe wersje. Nie można zatem lekceważyć tego zagrożenia.

Podsumowanie

Szkodniki na urządzenia mobilne są zagrożeniem, z którym możemy spotkać się każdego dnia. Do infekcji wystarczy chwila nieuwagi. Z racji swojego mobilnego charakteru, smartfony i tablety wypełnione są danymi różnego typu, od zdjęć i filmów, przez kontakty i maile, na kodach i hasłach kończąc. Taka dawka informacji jest kusząca dla wielu osób. Niekiedy zainfekowanie telefonu może pomóc w późniejszych, bardziej zaawansowanych atakach na firmy i instytucje. Nie sposób pominąć także wspomnianego przeze mnie wysyłania SMS-ów na numery o podwyższonej opłacie. Jak się zatem chronić? Aby zminimalizować ryzyko infekcji, należy pamiętać o kilku kwestiach:

• zainstaluj aplikację bezpieczeństwa na urządzeniu mobilnym,
• nie pobieraj oprogramowania z nieautoryzowanego źródła (jedynie z oficjalnych sklepów),
• przed instalacją programu sprawdź, do jakich zasobów chce mieć dostęp (np. dostęp do książki adresowej czy SMS-ów w przypadku gry powinien wzbudzić wątpliwości),
• uaktualniaj system operacyjny i aplikacje tak często jak to możliwe,
• włącz blokadę telefonu kodem, jeżeli jest to możliwe,
• nie trzymaj ważnych danych na urządzeniu mobilnym lub używaj aplikacji do szyfrowania newralgicznych informacji,
• sprawdź popularność danej aplikacji oraz opinie innych użytkowników,
• zachowaj ostrożność podczas instalowania aplikacji.

Maciej Ziarek, ekspert ds. bezpieczeństwa IT,