Китайская лаборатория Cheetah Mobile Security Lab выявила заражение вирусом планшетных компьютеров, продающихся через глобальный интернет-магазин «Amazon», а также через некоторых других продавцов. Это троян Cloudsota, способный красть данные, изменять конфигурацию на программном уровне и даже незаметно удалять или нивелировать антивирусную программу на устройстве. Уже продано свыше 17000 Android-планшетов в 153 страны мира, в том числе в Россию,Украину.

Если быть точным, лаборатория всего лишь анализировала многочисленные жалобы от пострадавших, которые просили помощи на различных специализированных форумах, таких как XDA, TechKnow и т.п. Но ее профессионалы первыми выявили источник проблемы и конкретизировали пути борьбы с трояном. Ссылку на подробную инструкцию вы найдете ниже.

Что может вирус Cloudsota:

• Установить рекламное ПО.
• Установить вредоносные программы.
• Удалить антивирус «без шума и пыли».
• Заменять анимацию на рекламные сообщения.
• Изменять домашнюю страницу браузера.
• Перенаправлять результаты поиска на рекламируемые продукты.
• Передавать личные данные пользователя злоумышленникам и т.п.

Сообщается так же, что данный вирус был подгружен на планшеты примерно 30 различных брендов, причем это количество является приблизительным и неполным. Но главные схожие черты можно указать уже сегодня: это дешевые устройства, изготовленные безымянными мастерскими. То есть, в категорию риска попадают неизвестные и малоизвестные бренды, а также планшеты-подделки под известные торговые марки.

Так же специалисты Cheetah Mobile Security конкретизируют источник угрозы. Троян располагается в компоненте SystemUI.apk. После включения планшетного компьютера вирус «стучится» на clouds.server в поисках трояна cloudsota. Если попытка не удается, он постоянно рисует в центре дисплея большое красное слово «Демо».

Даже если уничтожить вирус, он снова попадет в систему после следующей загрузки, и в скрипте init.rc будет восстановлен троян. Причем при работе вредоносный вирус будет посещать страницу источника cloudsota.com каждые 30 минут для получения новых команд. Кстати, данный сайт зарегистрирован в Шэньчжэне, КНР.

По сообщению специалистов, они понимают, почему предлагаемые планшеты стоят так дешево. Недостающую сумму злоумышленники многократно заработают путем использования вредоносного содержимого. Но если вы все-таки приобрели такое устройство, не стоит отчаиваться. В Cheetah Mobile Security Lab уже разработали метод борьбы с трояном.

От нового китайского вируса спасёт лишь перепрошивка   

Новая угроза для мобильных телефонов на платформе Android. Китайские хакеры созадли программу, которая разоряет своих владельцев, отправляет платные СМС, а еще копирует и отправляет преступникам всю важную финансовую информацию. Удалить вирус очень сложно, а вот заразиться, наоборот, просто - программа зашита в анимированные обои и другие программы.

Рекламный троянец проник в прошивку более 40 Android-устройств

Специалисты компании "Доктор Веб" рассказали об обнаружении новой вредоносной программы, которая была внедрена в прошивки многих Android-устройств - более 40 моделей, а также в код нескольких известных мобильных приложений для ОС от Google. Как утверждается, троянец предназначен для показа навязчивой рекламы, а также кражи личных данных, причём в сети была замечена активность нескольких модификаций троянца с разным поведением. Модуль Android.Gmobi.1 расширяет функциональные возможности Android-приложений и предназначен для дистанционного обновления операционной системы, сбора аналитических данных, показа различных уведомлений (в том числе рекламы) и осуществления мобильных платежей.

Несмотря на кажущуюся безобидность, Android.Gmobi.1 во многом ведёт себя как типичный троянец, поэтому содержащие его программы детектируются антивирусными продуктами как вредоносные. На текущий момент специалисты "Доктор Веб" обнаружили этот SDK в предустановленном системном ПО почти 40 популярных мобильных устройств, а также в приложениях TrendMicro Dr.Safety, TrendMicro Dr.Booster и ASUS WebStorage, которые доступны для загрузки в каталоге Google Play. Все компании уже оповещены о возникшей проблеме и занимаются её решением. Так, последние официальные версии программ TrendMicro Dr.Safety и TrendMicro Dr.Booster уже не содержат этого троянца.

Android.Gmobi.1 имеет несколько модификаций, которые объединяет общая функциональность - сбор и отправка на удалённый узел конфиденциальной информации. Например, версии троянца, которые встроены в приложения TrendMicro Dr.Safety и TrendMicro Dr.Booster, имеют только указанную шпионскую функцию, в то время как модификация, обнаруживаемая в прошивках мобильных устройств, является наиболее продвинутой. При каждом подключении к Интернету или включении экрана зараженного смартфона или планшета (если перед этим экран был выключен более минуты) Android.Gmobi.1 собирает и отправляет на управляющий сервер целый ряд конфиденциальных данных, таких как:

• email-адреса пользователя;
• наличие роуминга;
• текущие географические координаты на основе данных спутников GPS или информации мобильной сети;
• подробную техническую информацию об устройстве;
• страну нахождения пользователя;
• наличие установленного приложения Google Play.

В ответ троянец получает от сервера конфигурационный файл в формате JSON (JavaScript Object Notation), который может содержать следующие управляющие команды:

• сохранить в базу данных информацию о рекламе, которую необходимо показать пользователю;
• создать рекламный ярлык на рабочем столе;
• показать уведомление с рекламой;
• показать уведомление, нажатие на которое приведет к запуску уже установленного на устройстве приложения;
• загрузить и установить apk-файлы с использованием стандартного системного диалога или скрытно от пользователя, если для этого имеются соответствующие права.

Далее в соответствии с полученными командами вредоносная программа приступает к непосредственному выполнению своей основной вредоносной функции - показу рекламы, а также других действий, нацеленных на получение прибыли. В частности, троянец может продемонстрировать рекламу следующих типов:

• реклама в панели уведомлений;
• реклама в виде диалогового окна;
• реклама в виде интерактивных диалоговых окон - при нажатии кнопки подтверждения происходит отправка SMS  (при этом она выполняется только в том случае, если у приложения, в которое встроен вредоносный SDK, есть на это соответствующие права);
• рекламный баннер поверх окон других приложений и графического интерфейса ОС;
• открытие заданной страницы в веб-браузере или в приложении Google Play.

Кроме того, Android.Gmobi.1 способен автоматически запускать программы, уже установленные на устройстве, а также скачивать приложения по указанным злоумышленниками ссылкам, тем самым "накручивая" их популярность.

В настоящий момент все известные модификации этого троянца детектируются и обезвреживаются антивирусными продуктами только в тех случаях, если они находятся не в системных каталогах ОС. Если Android.Gmobi.1 был обнаружен в прошивке зараженного мобильного устройства, его удаление обычными средствами не представляется возможным, поскольку для этого антивирусу необходимо наличие root-полномочий. Однако даже если необходимые права в системе имеются, удаление троянца может привести к нарушению работы заражённого смартфона или планшета, поскольку Android.Gmobi.1 может быть встроен в критически важное системное приложение. В этом случае необходимо обратиться к производителю мобильного устройства и запросить у него новую версию прошивки, в которой троянец будет отсутствовать.

Новый троян Ghost Push атакует устройства на Android

Компания Cheetah Mobile обнаружила новый троян Ghost Push, заражающий мобильные устройства на платформе Android. Сразу после появления на устройстве троян сохраняется в корневом каталоге системы, что значительно усложняет процесс удаления. По словам представителей Cheetah Mobile, количество заражённых устройств превышает 900 тысяч. Сегодня Ghost Push можно найти в самых разных приложениях. В большинстве случаев заражённые программы и утилиты размещаются на различных форумах и сторонних ресурсах. Однако эксперты отмечают, что некоторые программы с Ghost Push были замечены и в Google Play. В основном это калькуляторы и другие подобные вспомогательные утилиты.

Основная задача этого трояна заключается не в нанесении вреда устройству или хищении данных пользователя - он позволяет зарабатывать своим авторам. Ghost Push "поселяется" в корневом каталоге и начинает показывать рекламу. По примерным подсчетам Cheetah Mobile Ghost Push приносил своим создателям до 4 миллионов долларов в день. Компания Google уже отреагировала на данное заявление и изъяла из своего магазина все приложения с вредоносным кодом. Пользователи, устройства которых уже были заражены, могут скачать специальную утилиту для удаления вируса из системного каталога.