Новая версия Triada распространяется, встроенная в прошивку Android-устройств

Исследователи Kaspersky Lab обнаружили новые версии вредоносного троянца Triada на предзагруженных Android-устройствах, что делает их уязвимыми еще до продажи. Фальшивые модели известных брендов были загружены на различные онлайн-маркеты. Троянцы Triada внедряются в каждое приложение на зараженном устройстве, обладая модульной архитектурой, которая позволяет злоумышленникам контролировать систему и настраивать функциональность для конкретных приложений.

Описание

В новой версии Triada, злоумышленники могут изменять адреса криптовалютных кошельков, подменять ссылки в браузерах, отправлять произвольные текстовые сообщения и крадут данные для входа в приложения для обмена сообщениями и социальные сети. Цепочка заражения Triada начинается с нативной библиотеки binder.so, которая загружается в процесс Zygote через зараженный системный фреймворк Android. Затем троянец внедряет модули в каждый процесс, запущенный на устройстве, позволяя ему скомпрометировать все приложения в системе.

Один из вспомогательных модулей троянца загружает файлы произвольного кода, а другие полезные нагрузки полагаются на существующие модули для выполнения своих вредоносных функций. Дополнительный модуль записывается во внутренний каталог данных приложения и может загружать файлы произвольного кода. Бэкдор mms-core.jar используется для двойного XOR-шифрования и загружается через DexClassLoader. Эта новая итерация бэкдора, известная из предыдущих отчетов, позволяет злоумышленникам получить контроль над зараженным устройством.

Это исследование подтверждает, что хотя новые версии Android имеют ограничения, предустановленные вредоносные программы в системных разделах устройств стали невозможными для удаления. Это создает новую угрозу безопасности, так как троянцы Triada могут быть встроены непосредственно в прошивку устройства, что позволяет им скомпрометировать все приложения на устройстве.