Последние три месяца отметились всплеском активности троянских приложений для Android, которые превращают смартфоны и планшеты в промежуточные узлы чужих прокси-сетей. Через заражённое устройство злоумышленники пропускают собственный интернет-трафик, поэтому их подключение выглядит так, будто идёт с телефона обычного человека. Больше 22% всех срабатываний защитного ПО пришлось всего на два семейства таких программ. Владелец гаджета ничего не замечает: аппарат работает как обычно, разве что батарея садится быстрее, а мобильный трафик расходуется активнее. Сеть заражённых устройств такого типа называют прокси-ботнетом, то есть парком машин, которые по команде извне открывают доступ в интернет незнакомым людям.
Описание
Второе место по числу срабатываний заняли банковские трояны - 18,06%. Их стало больше, чем кварталом ранее. Самые активные представители подсемейства Android.Banker.Mamont умеют перехватывать СМС и содержимое уведомлений, чтобы добыть одноразовые коды подтверждения банковских операций. Кроме того, они собирают технические сведения об устройстве, список установленных программ, данные о СИМ-карте, историю звонков и переписки. Получив такую информацию, мошенники могут войти в чужой банковский кабинет или убедительно выдать себя за сотрудника кредитной организации.
По данным лаборатории "Доктор Веб", в каталоге Google Play за те же три месяца найдено свыше пятидесяти вредоносных приложений. Большинство относится к семейству Android.Joker: эти трояны незаметно оформляют подписку на платные мобильные услуги, а коды подтверждения добывают, перехватывая сообщения и уведомления. Маскировка самая разная - мессенджеры, утилиты для ускорения работы телефона, камеры, средства распознавания текста, плееры для просмотра фильмов и сериалов. В новых сборках появилась дополнительная функция: устройство начинает работать как выходной узел прокси-сети. Доступ к таким узлам продают. На конец августа заражёнными оказались свыше 187 тысяч аппаратов, а число активных арендаторов нелегальной сети доходило до 93. Один из управляющих серверов ботнета не был защищён паролем, и это позволило сотрудникам лаборатории заглянуть внутрь панели управления и увидеть статистику работы сети.
Другую группу угроз составили подделки из семейства Android.FakeApp. Их распространяли под видом программ для управления финансами, органайзеров для заметок, сервисов поиска работы и игр. Заявленные функции многие из них действительно выполняли, но при определённых условиях вместо этого открывали мошеннические страницы. Один из образцов показывал список "актуальных вакансий" с высокой зарплатой, причём оформление сайта копировало цвета и логотип официального портала "Госуслуги". Желающим устроиться предлагали оставить заявку и указать имя и фамилию, возраст, гражданство и номер телефона, а затем выбрать удобное время для звонка от "специалиста". Собранные сведения в дальнейшем используют для обмана.
Отдельная категория - потенциально опасные программы, то есть приложения с лишними возможностями. Сами по себе они деньги не крадут, но заметно упрощают работу вирусописателей. Здесь лидируют сборки, куда с помощью инструмента для модификации NP Manager добавлен мусорный код, запутывающий логику программы. На такие модификации пришлось 69,01% срабатываний в этой категории. Приём активно применяют при защите банковских троянов: постороннему глазу труднее разобраться, что именно делает приложение. Второе место заняли программы, изменённые другими функциями того же инструмента, - 19,16%. Он умеет искажать код и обходить проверку цифровой подписи после правок. Замыкает тройку утилита LuckyPatcher с показателем 5,77%.
Рекламные трояны стали попадаться реже. Число срабатываний на семейства Android.MobiDash и Android.HiddenAds упало на 30,96% и 14,36%, вместе они дают меньше 10% от всей выявленной вредоносной активности. Доля имитаторов антивирусов, наоборот, выросла: Program.FakeAntiVirus заняли 51,09% среди нежелательных программ против 44,10% кварталом ранее. Такое приложение сообщает о несуществующей угрозе и предлагает купить полную версию для лечения. Среди рекламного ПО первое место у модулей Adware.AdPush - 39,46%. Они показывают уведомления, похожие на системные сообщения, собирают конфиденциальные сведения и подталкивают к установке других программ. Модули Adware.Airpush увеличили долю с 7,39% до 10,34%. Приложения Adware.Opensite, обещающие читы для игр, наоборот, ослабили позиции: их доля снизилась с 14,26% до 7,90%. Оптимизаторы Adware.Bastion заняли 5,73% - они пугают нехваткой памяти и ошибками системы, а во время "оптимизации" крутят рекламу.
Общая картина квартала складывается в одну линию: чужие устройства всё чаще используют как посредника. Прокси-ботнеты превратились в отдельный товар с арендаторами и тарифами, а банковские трояны продолжают охоту за одноразовыми кодами. Наличие приложения в официальном магазине больше не гарантирует безопасность: подделку маскируют под камеру, плеер или сервис поиска работы. Проверяйте, какие разрешения запрашивает программа, обновляйте систему и не вводите коды из сообщений на сторонних страницах. Двухфакторная аутентификация тоже снижает риск: одного перехваченного кода может оказаться недостаточно, если подтверждение требует дополнительного шага.
Индикаторы компрометации
