Исследование компании Zimperium показало, что новый вид вредоносного ПО для Android умело маскируется от антивирусных программ, используя необычный метод антианализа для файлов Android Package (APK), что делает его практически невидимым для большинства антивирусов.

Источник изображения: neotam / Pixabay

Zimperium, специализирующаяся на вопросах кибербезопасности, обнаружила, что вредоносные файлы противостоят декомпиляции (процессу, который антивирусы используют для выявления подозрительного кода) с помощью нестандартных или сильно модифицированных алгоритмов сжатия. Так как этот метод пока неизвестен антивирусным программам, вредоносное ПО может маскироваться под обычное приложение, полностью обходя защиту смартфона.

Отчёт Zimperium, опубликованный на этой неделе, указывает на 3 300 APK-файлов, использующих подобный способ сжатия. Из них 71 APK-файл успешно запускается и работает на Android 9 и старше. Zimperium не нашла доказательств того, что приложения, связанные с обнаруженными вредоносными APK-файлами, когда-либо размещались в Google Play Маркет.

Это указывает на то, что их распространение происходило иными путями, например, через сторонние магазины приложений или путём ручной установки пользователем. Хотя это тревожная новость для владельцев Android-смартфонов, тем не менее, основному риску подвергаются те пользователи, кто устанавливает приложения не из официальных магазинов.

Месяц назад, 26 июня, пользователь Steam предупредил сообщество Call of Duty: Modern Warfare 2 (2009) о том, что хакеры «атакуют через взломанные лобби». Другой игрок после анализа вредоносного ПО в той же ветке пришёл к выводу, что оно похоже на червя. Activision отреагировала на сообщения, но только сейчас.

Источник изображения: Pixabay

В разговоре с Techcrunch некий инсайдер на условиях анонимности подтвердил, что код вредоносного ПО содержит строки, указывающие на червя. На такой вывод наталкивает и его поведение: оно автоматически распространяется через онлайн-лобби от одного заражённого игрока к другому. Это говорит о том, что хакеры нашли и использовали уязвимости игры для выполнения вредоносного кода на компьютерах других пользователей.

Накануне, 26 июля, Activision сообщила, что «многопользовательский режим Call of Duty: Modern Warfare 2 (2009) в Steam был отключён, пока мы изучаем сообщения о проблеме».

Call of Duty: Modern Warfare 2 была выпущена ещё в 2009 году, но до сих пор имеет небольшое сообщество игроков. По данным SteamDB, пиковый онлайн в проекте за последние сутки составил около 650 человек.

Хотя и ранее фиксировались случаи распространения вредоносных программ через видеоигры, обычно ими становились троянские версии установщиков игр или читы. Компания Valve, управляющая платформой Steam, пока не прокомментировала ситуацию.

Ресурс BleepingComputer сообщил о создании участником команды red team ВМС США Алексом Ридом (Alex Reid) инструмента под названием TeamsPhisher, который позволяет использовать нерешённую проблему безопасности в Microsoft Teams для обхода ограничений на входящие файлы от пользователей за пределами целевой организации и рассылать вредоносное ПО.

Источник изображения: Pixabay

Инструмент использует проблему, о которой сообщила в прошлом месяце британская ИБ-компания Jumpsec. Как выяснилось, средства защиты Microsoft Teams на стороне клиента можно обойти, изменив идентификатор в POST-запросе сообщения, чтобы действовать под видом внутреннего пользователя.

Созданный с использованием Python инструмент действует полностью автономно. Он объединил в себе концепт атаки исследователей Jumpsec, методы, разработанные ИБ-экспертом Анджреа Сантезе (Andrea Santese), а также аутентификацию и вспомогательные функции инструмента TeamsEnum Бастиана Канбаха (Bastian Kanbach).

Источник изображений: github.com/Octoberfest7

TeamsPhisher вначале проверяет существование целевого пользователя и его способность получать внешние сообщения, что является необходимым условием для осуществления атаки. Затем он формирует новый поток данных и отправляет сообщение со ссылкой на вложение в Sharepoint. Поток отображается в интерфейсе Teams отправителя для возможного ручного взаимодействия.

Для успеха TeamsPhisher необходимо, чтобы у пользователя был бизнес-аккаунт Microsoft Business с лицензией Teams и Sharepoint, что характерно для многих крупных компаний.

Инструмент также имеет режим предварительного просмотра, позволяющий проверить установленные целевые списки и как выглядят сообщения с точки зрения получателя. Кроме того, он позволяет устанавливать задержки на отправку сообщений для обхода ограничений скорости и записывать выходные данные в журнал.

Данная уязвимость в Microsoft Teams по-прежнему существует, и Microsoft утверждает, что она не настолько серьёзна и поэтому не требует немедленного исправления. В ответ на просьбу дать комментарий по этому поводу представитель Microsoft сообщил BleepingComputer, что использование TeamsPhisher основано на социальной инженерии. Он призвал пользователей соблюдать меры безопасности и «проявлять осторожность при переходе по ссылкам на веб-страницы, открытии неизвестных файлов или принятии передачи файлов».

Стало известно, что более 60 тыс. приложений для платформы Android, замаскированных под легитимные продукты, скрытно устанавливали рекламное программное обеспечение на устройства и оставались незамеченными в течение последних шести месяцев. Обнаружить их удалось румынской компании Bitdefender, работающей в сфере информационной безопасности, и в прошлом месяце запустившей в своём антивирусе Bitdefender Mobile Security новую функцию обнаружения аномалий.

Источник изображения: Bleeping Computer

«На сегодняшний день Bitdefender обнаружил 60 тыс. совершенно разных образцов (уникальных приложений), содержащих рекламное ПО, и мы подозреваем, что в действительности их гораздо больше», — говорится в сообщении Bitdefender.

Предполагается, что масштабная кампания по распространению поддельных приложений, которые скрытно загружают на пользовательские устройства рекламное ПО, началась в октябре прошлого года. Специалисты определили, что чаще всего такое ПО выдаёт себя за антивирусные приложения, утилиты для взлома игр, VPN-клиенты, различные служебные приложения и др. Преимущественно данное ПО нацелено на пользователей из США, а также Южной Кореи, Бразилии, Германии, Великобритании и Франции.

Источник изображения: Bitdefender

В рамках данной кампании поддельные приложения распространяются не через официальный магазин цифрового контента Google Play Маркет, а через сторонние сайты. После установки на устройство пользователя такое приложение не запускается автоматически, поскольку для этого необходимы дополнительные привилегии. Вместо этого оно рассчитано на то, что пользователь хотя бы раз запустит установленное приложение.

При запуске приложения появляется сообщение об ошибке: «Приложение недоступно в вашем регионе. Нажмите OK, чтобы удалить его». Однако вместо этого активируется функция, которая вызывает запуск приложения при загрузке устройства или разблокировке экрана. Любопытно, что она начинает работать не сразу, а лишь через несколько часов. Очевидно, это делается для того, чтобы пользователь не заподозрил в появлении рекламного контента недавно установленное и, как он думает, удалённое приложение. После активации приложение устанавливает связь с подконтрольным злоумышленникам сервером и получает оттуда ссылки для последующей демонстрации полноэкранных рекламных сообщений.

Хотя на данном этапе поддельные приложения используются для демонстрации рекламы, она может быть легко заменена вредоносными сайтами, посещение которых небезопасно. Специалисты рекомендуют пользователям отказаться от установки приложений из сторонних источников, чтобы снизить риск заражения устройств вредоносным ПО.

Мобильные приложения могут менять свою функциональность даже после того, как их загрузили из маркетплейса. Изначально безобидный софт может превратиться во вредоносное ПО, способное нанести пользователю существенный ущерб. Как сообщает The Verge, программа iRecorder Screen Recorder для ОС Android изначально предназначалась для записи изображения с экрана смартфона, но спустя почти год после релиза она перешла на «тёмную сторону», начав выполнять несвойственные ей функции.

Источник изображения: yang miao/unsplash.com

Известно, что впервые ПО представили в сентябре 2021 года, но после обновления в августе 2022 года приложение начало тайно записывать по минуте аудио каждые 15 минут и передавать записи по шифрованному каналу на сервер разработчика. Подробно проблема задокументирована в блоге эксперта ESET Лукаса Стефанко (Lukas Stefanko).

В своём посте Лукас заявил, что ПО приобрело вредоносные функции в августе 2022 года, когда в него был интегрирован код на основе т.н. AhMyth Android RAT (троян удалённого доступа). К тому времени приложение насчитывало 50 тыс. загрузок. О проблеме сообщили, и продукт был удалён из Google Play. Эксперт добавляет, что программы с интегрированным AhMyth и ранее проходили защитные фильтры Google.

Вредоносные приложения встречаются как в Google Play, так и в App Store довольно часто. Особенно опасными могут быть программы, в которых функционально предусмотрена запись какого-либо контента. Более того, иногда они взимают плату за подписки, а их разработчики оплачивают отзывы для увеличения видимости на платформе Google или Apple. Стефанко подчёркивает важность главной проблемы: часто приложения становятся вредоносными далеко не сразу после того, как их загрузили. Они получают всевозможные разрешения, после этого обновляются и начинают злонамеренную деятельность, передавая информацию с устройств пользователей разработчикам.

Приложение iRecorder Screen Recorder уже удалено, но ничто не мешает любой другой «спящей» программе начать сбор данных на смартфоне в любой момент. Google регулярно сообщает об изменениях политики обмена данными в приложениях, но только тогда, когда может выявить такие факты.

Специалисты компании Check Point Research, работающей в сфере информационной безопасности, обнаружили вредоносную прошивку для широкого спектра домашних и корпоративных маршрутизаторов TP-Link. С её помощью хакеры, предположительно поддерживаемые китайскими властями, объединяют заражённые устройства в сеть, трафик внутри которой скрытно передаётся на подконтрольные злоумышленникам серверы.

Источник изображения: Pixabay

По данным Check Point, вредоносная прошивка содержит полнофункциональный бэкдор, позволяющий хакерам устанавливать связь с заражёнными устройствами, передавать файлы, осуществлять удалённое выполнение команд, а также загружать, скачивать и удалять данные на подконтрольных устройствах. Вредоносное программное обеспечение распространяется под видом прошивки для маршрутизаторов TP-Link. Предполагается, что основная цель ПО заключается в скрытой ретрансляции трафика между заражёнными устройствами и подконтрольными хакерам серверами.

Анализ вредоносного ПО показал, что его операторы связаны с группировкой Mustang Panda, которая, по утверждению компаний Avast и ESET, поддерживается китайскими властями. Вредоносная прошивка была обнаружена в ходе расследования серии хакерских атак на европейские внешнеполитические структуры. Главным компонентом ПО является бэкдор, получивший название Horse Shell. Он позволяет осуществлять удалённое выполнение команд на заражённых устройствах, передавать файлы для загрузки на устройства жертв и выгружать данные, а также обмениваться данными между двумя устройствами с использованием протокола SOCKS5.

«Бэкдор может использоваться для ретрансляции данных между двумя узлами. Таким образом, злоумышленники могут создать цепочку узлов, которые будут передавать трафик на подконтрольный сервер. Такой подход позволяет киберпреступникам скрыть конечную точку назначения, поскольку каждый узел в цепочке имеет данные только о предыдущем и следующем узлах, каждый из которых представляет собой заражённое устройство. Лишь несколько узлов будут содержать данные о конечном узле», — говорится в сообщении Check Point.

Миллионы смартфонов по всему миру поставляются с вредоносами в прошивке прямо с заводов, сообщили эксперты компании Trend Micro на конференции Black Hat Asia. В первую очередь речь идёт о недорогих мобильных устройствах под Android, хотя их догоняют смарт-телевизоры, смарт-часы и другие гаджеты.

Источник изображения: Gerd Altmann / pixabay.com

Выпуск мобильных устройств бренды часто делегируют подрядчикам — OEM-производителям. Зачастую участвующие в этой схеме разработчики прошивок заражают их вредоносным кодом перед отправкой — об этой угрозе известно не первый год, но эксперты Trend Micro характеризуют её как «растущую проблему для рядовых пользователей и предприятий». Установка вредоносного кода сравнима с занесением в корень дерева инфекции, которая потом распространяется по всему стволу, до последней ветки и листика.

Внедрение вредоносов началось, когда рухнули цены на прошивки для мобильных телефонов. Конкуренция стала настолько яростной, что в какой-то момент прошивки стали предлагать бесплатно. Но ничего бесплатного, конечно, не бывает, и распространилась практика установки так называемых тихих плагинов. Эксперты Trend Micro проанализировали несколько десятков образцов прошивок в поисках вредоносного кода и обнаружили более 80 таких плагинов: некоторые из них продавались по закрытым каналам, а другие — открыто через соцсети и блоги.

Вредоносное ПО позволяет перехватывать SMS-сообщения, взламывать соцсети и мессенджеры, а также производить монетизацию с помощью рекламы и мошеннических схем с кликами. Злоумышленники получают доступ к данным о нажатиях клавиш на устройствах, географическом положении пользователей, их IP-адресах и прочей информации. Иногда устройства становятся прокси-серверами — выходными узлами, которые арендуются на срок до 1200 секунд.

По подсчётам исследователей, число таких заражённых устройств измеряется миллионами, а больше всего их в Юго-Восточной Азии и Восточной Европе — и сами преступники говорят о 8,9 млн единиц. Источник угрозы авторы доклада напрямую не указали, но предложили аудитории самостоятельно подумать, где находится большинство OEM-производителей и сделать выводы. Вредоносное ПО было обнаружено на устройствах как минимум 10 поставщиков, и ещё около 40 находятся в зоне риска. А способ защититься от угрозы достаточно простой: рекомендуется придерживаться продукции крупных брендов, хотя и это не может быть гарантией безопасности.

ФБР опубликовало адресованное пользователям смартфонов и других мобильных устройств предостережение с призывом воздержаться от использования бесплатных зарядных станций, установленных в общественных местах. По сведениям ведомства, многие из этих устройств могут быть подконтрольны мошенникам и киберпреступникам — подключение смартфона, планшета или ноутбука может привести к их заражению вредоносным ПО.

Источник изображения: twitter.com/FBIDenver

«Избегайте использования бесплатных зарядных устройств в аэропортах, гостиницах или торговых центрах. Злоумышленники нашли возможность использовать общедоступные USB-порты для загрузки вредоносного и шпионского ПО на устройства. Вместо этого носите с собой собственное зарядное устройство с USB-кабелем и подключайте его к розетке», — говорится в заявлении ведомства.

Рекомендации ведомство опубликовало на своём сайте. В материалах не говорится о каких-либо конкретных инцидентах, связанных с причинением ущерба потребителям при использовании публичных зарядных устройств. В офисе ФБР в Денвере заявили, что публикация носит рекомендательный характер, и никакой конкретный инцидент для этого поводом не послужил.

Тем не менее, Федеральная комиссия по связи (FCC) США ранее заявила, что схема со взломом гаджетов через общедоступные зарядные устройства и последующей загрузкой вредоносного ПО (juice jacking) известна с 2021 года. Это ПО перехватывает регистрационные данные пользователей, связанные с различными сервисами — FCC также рекомендовала пользователям избегать подключения телефонов и других гаджетов к общественным зарядным устройствам.

С момента запуска ИИ-бот ChatGPT успели испытать на решении широкого круга задач: она не только отвечает на вопросы, но также пишет технические статьи, эссе, стихи и компьютерный код. Как оказалось, на последнее следует обратить пристальное внимание, потому что этот код может быть вредоносным, если такую задачу ставит перед искусственным интеллектом пользователь.

Источник изображения: Moritz Erken / unsplash.com

Эксперты по кибербезопасности компании Check Point Research опубликовали доклад, в котором рассказали, как участники хакерских форумов используют ChatGPT для написания вредоносного кода и фишинговых электронных писем — некоторые из этих людей имеют небольшой опыт в программировании или вообще его лишены. В одном из приведённых примеров описывается скрипт на языке Python, который при некоторой доработке можно превратить в программу-вымогатель, способную шифровать данные на компьютере пользователя. Ещё один созданный ChatGPT скрипт на Python производит поиск файлов заданного типа, например, PDF, на локальной машине, осуществляет их сжатие и отправку на сервер потенциального злоумышленника — это стандартный сценарий кражи информации.

На языке Java нейросеть создала код, который производит скрытую загрузку SSH- и telnet-клиента PuTTY для последующего запуска интерфейса PowerShell. В другом примере написанный ChatGPT скрипт предназначался для запуска торговой онлайн-площадки, на которой производится покупка или обмен скомпрометированных учётных записей, данных банковских карт, вредоносных программ и прочих виртуальных товаров, которые продаются в даркнете. Скрипт подключался к стороннему интерфейсу для получения актуальных данных о котировках наиболее популярных криптовалют для упрощения расчётов.

Исследователи Check Point Research и сами попытались использовать нейросеть для моделирования хакерской атаки — ИИ «не подвёл». Бот любезно сочинил им убедительное фишинговое письмо, в котором сообщалось о блокировке аккаунта у одного из хостеров и предлагалось открыть вложенный файл Excel. С нескольких попыток ChatGPT написал и встроенный в этот файл вредоносный VBA-макрос. Но куда более мощным инструментом оказалась специализированная ИИ-система генерации кода Codex, с которой исследователи получили целый комплект вредоносов: интерфейс Reverse Shell и скрипты сканирования портов, обнаружения песочницы, а также компиляции кода на Python в исполняемый файл Windows.

Специалисты по информационной безопасности, работающие в рамках инициативы Google Android Partner Vulnerability Initiative (APVI), обнаружили случаи использования легитимных сертификатов для подписи вредоносных приложений для устройств на базе Android. Обычно такие сертификаты или ключи платформы используются производителями устройств для подписи системных приложений.

Источник изображений: Bleeping Computer

«Сертификат платформы — это сертификат подписи приложения, используемый для подписи приложения «android» в образе системы. Приложение «android» запускается с идентификатором пользователя с высокими привилегиями — android.uid.system — и имеет системные разрешения, включая разрешение на доступ к данным пользователя. Любое другое приложение, подписанное тем же сертификатом, может работать с таким же идентификатором пользователя, что предоставляет ему такой же уровень доступа к операционной системе Android», — рассказал Лукаш Сиверски (Lukasz Siewirski), один из участников инициативы APVI.

Исследователь обнаружил несколько образцов вредоносного ПО, которые были подписаны с помощью десяти сертификатов, а также предоставил SHA256-хэши для каждого из них. Согласно имеющимся данным, некоторые из сертификатов принадлежат Samsung, LG и MediaTek. На данный момент нет информации относительно того, как сертификаты для подписи системных приложений попали в руки злоумышленников. Также нет информации о том, где были обнаружены образцы вредоносного ПО, поэтому нельзя исключать того, что исследователь нашёл их в магазине цифрового контента Play Маркет.

Названия пакетов 10 приложений, которые были подписаны скомпрометированными сертификатами

С помощью поиска опубликованных исследователем хэшей по базе VirusTotal удалось обнаружить некоторые вредоносы, подписанные сертификатами упомянутых компаний. Google уведомила партнёров, которых затрагивает данная проблема, и порекомендовала сменить сертификаты, используемые для подписи легитимных приложений.