24 октября 2014
Троянец следит за протестующими в Гонконге
Эксперты компании «Доктор Веб» исследовали вредоносную программу Android.SpyHK.1.origin. Android-угроза распространялась среди протестующих жителей Гонконга. Android.SpyHK.1.origin не представляет опасности для пользователей антивируса Dr.Web для Android и Dr.Web для Android Light.
Android.SpyHK.1.origin выделяется среди троянцев-шпионов рядом интересных функциональных особенностей. Он создан с целью незаконного сбора информации и шпионажа за пользователями, выступающими за более демократическую избирательную систему. Троянец устанавливался на мобильные устройства активистов под видом приложения для координации их действий.
После запуска Android.SpyHK.1.origin устанавливает соединение с управляющим сервером, куда загружает информацию о зараженном устройстве. После этого ожидает дальнейших указаний злоумышленников и, в зависимости от поступившей команды, может выполнить следующие действия:
– активировать диктофонную запись и передать ее на управляющий сервер и осуществлять звонок на заданный номер;
– добавить определенные номера телефонов в список прослушиваемых;
– загрузить файлы на управляющий сервер и с заданного веб-адреса;
– выполнить shell-скрипт;
– отобразить на экране сообщение с заданным текстом;
– получить GPS-координаты устройства;
– получить доступ к СМС переписке;
– получить информацию об устройстве;
– получить историю звонков;
– получить расширенный список контактов;
– получить содержимое заданной директории;
– получить текущий список прослушиваемых номеров;
– сделать запись в лог-файле;
– удалить заданный файл с устройства.
Для определения GPS-координат зараженных мобильных устройств троянец эксплуатирует уязвимость системного интерфейса управления питанием. Данная уязвимость была устранена еще в 2011 году, однако пользователи сообщали о ее повторном появлении в последних версиях операционной системы. Она позволяет активировать функции мобильного устройства в обход глобальных системных настроек. В ряде случаев Android.SpyHK.1.origin может активировать GPS-приемник зараженного смартфона или планшета, не смотря на то, что владелец устройства запретил использование этой функции.
При достаточных вычислительных ресурсах управляющего сервера злоумышленники могут в режиме реального времени получать оперативную информацию об окружающей обстановке, объединив инфицированные смартфоны и планшеты в систему слежения. Это говорит о проведении хорошо спланированной таргетированной атаке, направленной на получение информации о бастующих жителях Гонконга. Аналогичные вредоносные программы могут использоваться и в других регионах мира, поэтому владельцам мобильных устройств следует быть осмотрительными.
