Rozwój złośliwego oprogramowania na system Android osiągnął swój kolejny kamień milowy. Wirus Android.Backdoor.Ssucl.A potrafi atakować komputery z systemem Windows w momencie podłączenia tabletu lub telefonu poprzez kabel USB. Wirus wykorzystuję liczne zdalnie sterowane funkcje, by zamienić nasze urządzenie mobilne w bezmyślne zombie sterowane przez hakerów.
Z końcem stycznia specjaliści ds. bezpieczeństwa IT natrafili na pierwsze wersje Ssucl.A w sieci. Spośród wszystkich dostępnych miejsc, malware został odnaleziony w oficjalnym sklepie z aplikacjami dla Androida Google Play, a także wielu innych sklepach oferujących programy na urządzenia mobilne.
Właściciele urządzeń ze starszymi wersjami Androida często mają problemy z niewystarczającą ilością pamięci. Dlatego wielu użytkowników poszukuje oprogramowania, które pomaga optymalizować system. Autorzy złośliwego oprogramowania postanowili to wykorzystać i ukryli malware w aplikacjach oferujących takie funkcje. Takim sposobem Ssucl.A został pobrany około tysiąca razy z Google Play. W sklepach z oprogramowaniem na Androida złośliwe oprogramowanie ukrywało się w aplikacji „SuperClean”, darmowym narzędziu do czyszczenia pamięci.
Malware zawierający szereg zadziwiających funkcji
Eksperci G Data SecurityLabs przeanalizowali kilka próbek złośliwego kodu. Analiza próbki pokazała, że atakujący mogą wykonywać szereg działań na zainfekowanym urządzeniu:
- Wykonywać połączenia oraz przesyłać wiadomości tekstowe na dowolne numery
- Przeglądać pliki, kontakty, SMS, informacje na temat sprzętu i przesyłać je na wcześniej zdefiniowany serwer
- Atakujący mogą zdalnie sterować urządzeniem
- Włączyć lub wyłączyć połączenia sieciowe
- Włączyć lub wyłączyć przekierowanie połączeń
- Przesyłać pliki oraz dane bezpośrednio na urządzenie
- Wyświetlać fałszywe okno logowania do Dropbox oraz do konta Google
- Lokalizować urządzenie mobilne tym samym samego użytkownika
- Przeprowadzić atak na komputery z systemem Windows
Zagrożenia dla urządzeń mobilnych: wykorzystanie kodów USSD
Możliwość wykonywania połączeń na dowolne numery niesie ze sobą większe ryzyko niż może się to wydawać na pierwszy rzut oka. Telefon może zostać wykorzystany do wykonywania połączeń z kodami sterującymi i zarządzającymi wieloma funkcjami np. pocztą głosową. Niektóre typy urządzeń pozwalają atakującym na restart urządzenia, przywrócenie ustawień fabrycznych lub trwałe uszkodzenie karty SIM.
Jak androidowy malware infekuje komputery PC?
Wirus na wyraźną komendę atakującego może pobierać pliki na zainfekowane urządzenie mobilne. Analizowany złośliwy kod pobrał 3 pliki: autorun.inf, folder.ico i svchosts.exe. Plik .ico to ikona wyświetlana użytkownikowi w eksploratorze Windows jako „napęd” który jest dostarczany. Plik autorun.inf zawiera informacje na temat działań, które mają zostać wykonane automatycznie (w tym wypadku instalacja złośliwego oprogramowania na PC) jak tylko nośnik danych (w tym wypadku zainfekowane urządzenie mobilne) zostanie podłączone do komputera PC z systemem Windows.
Jeżeli urządzenie jest podłączone poprzez kabel USB, a funkcja Autorun jest włączona, sprzęt automatycznie podłączy się do PC jako zewnętrzny dysk. Wtedy funkcja autostartu Windows automatycznie pobierze zainfekowany plik svchosts.exe i tak nasz sprzęt z Androidem infekuje nasz komputer.
Nie wszystkie urządzenia mobilne umożliwiają zainfekowanie PC
Na szczęście metoda opisana powyżej nie działa na wszystkich urządzeniach, przykładowo napastnicy nie mogą zaatakować komputerów poprzez urządzenia wykorzystujące MTP (Media Transfer Protocol). Jednak istnieje ryzyko, że użytkownik sam przez przypadek dostarczy złośliwy plik.
Z instrukcji lub strony producenta możesz dowiedzieć się czy Twoje urządzenie mobilne wykorzystuje MTP.
Szkodliwe oprogramowanie na Windows
Opisywany malware PC po uruchomieniu autostartu tworzy wpis w rejestrze by wirus uruchomił się automatycznie przy restarcie komputera. Następnie nawiązuje połączenie z serwerem C&C (command-and-control) do którego program przesyła podstawowe informacje na temat użytkownika i zainfekowanego systemu.
Jednak to co wyróżnia Ssucl.A spośród innego malware’u to zakodowana „funkcja nasłuchu”. Jeśli tylko poziom dźwięków odbieranych przez mikrofon zainfekowanego komputera przekroczy odpowiedni poziom, oprogramowania rozpoczyna nagrywanie. Następnie pliki audio przesyłane są na zewnętrzny serwer w zaszyfrowanej postaci. Dodatkowo Ssucl.A posiada inne funkcje programów szpiegujących– wykonuje zrzuty ekranu użytkownika podczas jego aktywności oraz przechwytuje dane z popularnych przeglądarek jak Chrome czy Firefox.
Ataki wieloplatformowe
Generalnie rzecz biorąc atak przeprowadzony przez twórców Ssucl.A na platformę Windows to nic nowego, jednak samo wykorzystanie urządzeń mobilnych z Androidem jako nosicieli wirusów PC zostało odnotowane po raz pierwszy!
W 2005 roku malware „Cardtrap” na zapomniany już system operacyjny Symbian, używał podobnych technik by infekować komputery PC.
G Data ostrzega przed możliwością zarażenia komputera z wykorzystaniem aktywnej funkcji Autorun w systemie Windows. Już od dłuższego czasu ilość ataków z wykorzystaniem tej tej funkcji systematycznie się zmniejszała. Ograniczały się one do dystrybucji wirusów poprzez nośniki jak CD, DVD czy pendrive. Sukces rynkowy jaki osiągnęły przenośne urządzenia wyposażone w system Android, dał do myślenia cyberprzestępcom, którzy postanowili wykorzystać urządzenia mobilne do rozprzestrzeniania swoich złośliwych aplikacji.
Aby uzyskać więcej informacji na temat zagrożeń na Androida, patrz G Data Malware Report 2012.
Wskazówki i porady:
- Zabezpiecz swoje urządzenia z Androidem, oraz upewnij się że chronisz swój komputer przed złośliwym oprogramowaniem. Kompleksową ochronę zapewni G Data MobileSecurity 2 i G Data InternetSecurity 2013
- Używaj ładowarki, nigdy komputera do ładowania swojego telefonu. Pod żadnym pozorem nie ładuj baterii swojego telefonu korzystając z nieznanego Ci komputera PC
- Pobieraj aplikacje na urządzenia mobilne tylko ze sprawdzonych źródeł
- W marketach z aplikacjami zwróć uwagę na oceny i opinie innych użytkowników na temat oprogramowania, które chcesz pobrać
- Gogle Play informuje przed instalacją o wymaganych zezwoleniach których wymaga aplikacja. Zawsze należy sprawdzić na co zezwalamy nowo instalowanej aplikacji i samemu ocenić czy jest to niezbędne.
- Wyłącz funkcje Autorun na swoim komputerze. Jak to zrobić? Opis na stronie producenta Windows http://support.microsoft.com/kb/967715/pl
