Троянцы семейства Android.BankBot получили широкую известность в начале апреля 2015 года, когда МВД России сообщило о задержании киберпреступников, использовавших несколько модификаций этих вредоносных приложений при реализации атак на клиентов ряда российских и иностранных кредитных организаций. Несмотря на то, что деятельность этих злоумышленников была пресечена, распространение данных троянцев другими вирусописателями продолжилось, о чем свидетельствует появление очередных модификаций банкеров.

Так, совсем недавно вирусные аналитики компании «Доктор Веб» обнаружили несколько подобных троянцев, среди которых – Android.BankBot.43 и Android.BankBot.45. Они распространяются под видом легального ПО, такого как игры, медиаплееры или обновления операционной системы, и благодаря применению злоумышленниками различных методов социальной инженерии устанавливаются на Android-смартфоны и планшеты самими же пользователями.

Запустившись в зараженной системе, троянцы Android.BankBot пытаются получить доступ к функциям администратора мобильного устройства, которые дают им расширенные возможности, включая способность препятствовать их удалению. После получения необходимых полномочий данные троянцы устанавливают связь с управляющим сервером и ожидают поступления дальнейших указаний. В частности, они способны позвонить на указанный в команде номер; использовать для связи с управляющим сервером полученный в команде веб-адрес; выполнить указанный в команде USSD-запрос; отправить на сервер все входящие и исходящие SMS; выполнить сброс настроек устройства с удалением всех данных пользователя и так далее.

Новая троянская программа для ОС Android, получившая имя Android.Titan.1, атакует южнокорейских пользователей и распространяется киберпреступниками с помощью SMS, говорится в сообщении компании «Доктор Веб». В отправляемых злоумышленниками сообщениях говорится о якобы задерживающейся доставке некоего почтового отправления, а также указывается ссылка, переход по которой предполагает получение подробных сведений о возникшей «проблеме». В действительности же эта ссылка ведет на одну из страниц популярного облачного сервиса хранения данных, где вирусописатели разместили троянца.

Благодаря наличию у Android.Titan.1 возможности выполнения скрытого звонка, а также периодическому отслеживанию активности экрана зараженного устройства, злоумышленники способны отдать троянцу команду на выполнение вызова, когда зараженный смартфон или планшет долгое время находится в режиме ожидания. При этом сразу после начала телефонного разговора экран вновь блокируется, в результате чего у пользователя не должно возникнуть никаких подозрений о совершаемом без его ведома нежелательном звонке.

Android.Titan.1 также способен отслеживать все входящие сообщения и скрывать от пользователя те из них, которые удовлетворяют заданным вирусописателями критериям. При этом на управляющий сервер передаются подробные сведения обо всех принятых SMS, включая информацию об отправителе, дате и времени отправки, а также их содержимом. Кроме этого, Android.Titan.1 каждую минуту проверяет, не совершается ли пользователем телефонный звонок, и, если это так, начинает скрытую запись разговора в amr-файл, сохраняя полученный результат в своем рабочем каталоге. Также троянец может блокировать входящие или исходящие звонки с определенных номеров, отвечать на вызовы и удалять информацию о них из системного журнала.

Основное предназначение этого приложения — скачивание и запуск на инфицированном компьютере троянца-шифровальщика Trojan.Encoder.686, представляющего для пользователей серьезную угрозу, поскольку пострадавшие от его действия файлы в настоящее время не поддаются расшифровке.

Троянец-загрузчик распространяется злоумышленниками при помощи массовой спам-рассылки в виде вложенного в сообщения электронной почты ZIP-архива. Специалисты «Доктор Веб» зафиксировали случаи распространения сообщений, содержащих опасное вложение, на разных языках, в том числе английском, немецком и даже грузинском.

Новая Android-угроза распространялась среди протестующих жителей Гонконга, выступающих за более демократичную избирательную систему. Как сообщили в компании «Доктор Веб», троянец устанавливался на мобильные устройства активистов под видом приложения для координации их действий, поэтому не должен был вызвать особых подозрений у большинства своих жертв.

Android.SpyHK.1.origin обладает рядом интересных функциональных особенностей, выделяющих его среди прочих троянцев-шпионов. В частности, для определения GPS-координат зараженных мобильных Android-устройств троянец эксплуатирует известную уязвимость системного виджета управления питанием, которая позволяет активировать некоторые функции мобильного устройства в обход глобальных системных настроек. Кроме этого, осуществляемая шпионом передача диктофонной записи на сокет управляющего сервера позволяет выполнять прослушивание в реальном времени. Более того, благодаря передаче большей части собираемой троянцем информации непосредственно на сокет удаленного сервера, при достаточно мощных вычислительных ресурсах последнего злоумышленники могут в реальном времени получать оперативную информацию об окружающей обстановке там, где находятся зараженные Android-устройства, объединив инфицированные смартфоны и планшеты в мощную систему слежения.

Все это позволяет говорить о проведении хорошо спланированной таргетированной атаке, направленной на получение важной информации о бастующих в настоящее время жителях Гонконга, а также их возможных действиях в будущем, считают в компании «Доктор Веб».

В мае 2014 года компания «Доктор Веб» сообщала о распространении значительного числа различных троянских программ, ориентированных на компьютеры под управлением ОС Linux и предназначенных для организации DDoS-атак. Недавно было обнаружено несколько новых образцов аналогичных вредоносных программ, имевших существенное отличие от своих предшественников: все они, несмотря на очевидное родство с предыдущими модификациями подобных троянцев, были портированы для работы в операционных системах семейства Microsoft Windows.

Одной из таких программ является Trojan.DnsAmp.1, представляющий собой Windows-совместимую версию одного из троянцев семейства Linux.DnsAmp. Ряд характерных признаков, обнаруженных специалистами «Доктор Веб» в коде этого троянца, указывает на то, что его авторами являются те же вирусописатели, которые причастны к созданию вредоносных программ семейств Linux.DDoS и Linux.BackDoor.Gates, утверждают в компании.