Новое вредоносное приложение, выдавая себя за обновление ПО системы, ворует данные и получает контроль над смартфоном. Вирус обнаружили специалисты из zLabs.

Подписаться на iGuides в Telegram, чтобы узнать обо всем первым — t.me/iguides

Вредоносное ПО называется System Update и распространяется в сети и как отдельное приложение, и как «прицеп» к другому софту. Согласно исследованию, вирус умеет красть данные — например, переписку в мессенджерах, фотографии и видео, файлы с расширением .doc, .pdf, .xlsx, журналы звонков и контакты. Кроме того, приложение проверяет закладки и историю посещений в Chrome, Firefox и браузере Samsung, просматривает буфер обмена, уведомления, записывает телефонные разговоры, периодически делает снимки через любую из камер. Чтобы владелец не заподозрил неладное, установленный троян умеет скрывать свою иконку с рабочего стола и из списка приложений.

Сразу после установки поддельный System Update запрашивает систему о проценте заряда аккумулятора, статистике внутреннего хранилища, токене Службы обмена сообщениями, а также о наличии или отсутствии на устройстве мессенджера WhatsApp — переписки из этого мессенджера впоследствии крадутся с устройства. Основную часть времени троян находится в бездействии, а функциональность его можно спровоцировать добавлением контакта в телефон, получением СМС или установкой определенных приложений, которые «интересуют» вирус. Обратите внимание на триггер по получению СМС — именно через «Cлужбу обмена сообщениями Firebase» вредонос получает удаленные команды от своих «начальников». В частности, таким путём инициируется запись звука с микрофона.



Шпионское ПО собирает всё необходимое в ZIP-архив, отправляет его на сервер, и после подтверждения об успешной выгрузке сразу же удаляет архив с устройства. Еще один нюанс: так как фото и видео могут быть очень тяжелыми, вирус крадет и отправляет на сервер только эскизы из галереи смартфона — и обнаружить его по постоянной утечке трафика становится сложнее. В режиме ожидания девайса троян выводит на экран блокировки сообщение «Поиск обновлений», которое очень похоже на системное оповещение Android.

Способ защититься от этого изобретения — не устанавливать приложения из сторонних магазинов или случайных сайтов. Google официально подтвердила, что в Play Store нет и никогда не было трояна System Update, а значит получить его можно только из неофициальных либо пиратских источников.