Мобильная вирусология 2016

Цифры года

В 2016 году было обнаружено:

• 8 526 221 вредоносный установочный пакет;
• 128 886 мобильных банковских троянцев;
• 261 214 мобильных троянцев-вымогателей.

Тенденции года

• Рост популярности вредоносного ПО с правами суперпользователя, в первую очередь рекламных троянцев.
• Распространение зловредов через Google Play Store и рекламные службы.
• Появление способов обхода новых механизмов защиты ОС Android.
• Рост числа мобильных программ-вымогателей.
• Активное развитие мобильных банковских троянцев.

Вредоносное ПО с правами суперпользователя

Самыми популярными троянцами в 2016 году стали рекламные троянцы, которые могут получить права суперпользователя. Для этого они используют различные наборы уязвимостей, обычно уже исправленные в новых версиях Android. К сожалению, устройства большей части пользователей не получают актуальные обновления системы, что делает их уязвимыми.

Root-права предоставляют троянцу практически неограниченные возможности, позволяя скрытно устанавливать другие рекламные приложения, а также отображать на зараженном устройстве рекламу, что часто приводит к невозможности использования смартфона. Кроме агрессивного показа рекламы и инсталляции постороннего ПО, подобные троянцы могут даже покупать приложения в Google Play.

При этом зловред устанавливает свои модули в системные директории, что делает лечение зараженного устройство очень непростым. Некоторые рекламные троянцы умеют заражать даже образ восстановления, что приводит к невозможности решить проблему возвращением к заводским настройкам.

Помимо скрытой установки рекламных приложений, троянцы могут устанавливать и вредоносное ПО. Нами были зарегистрированы случаи установки модульного приложения-загрузчика Backdoor.AndroidOS.Triada, модифицировавшего процесс Zygote. Это позволяло ему обосновываться в системе и изменять SMS-сообщения, отправленные другими приложениями, используя это для кражи денег владельца зараженного устройства. Права суперпользователя давали возможность троянцу делать буквально все, включая замену URL в браузерах.

Представители этого класса вредоносного ПО неоднократно обнаруживались в официальном магазине приложений Google Play Store, например, под видом гида для популярной игры Pokemon GO. Это приложение было загружено более полумиллиона раз и детектировалось как Trojan.AndroidOS.Ztorg.ad.

Trojan.AndroidOS.Ztorg.ad замаскированный под гид для Pokemon GO

Киберпреступники продолжают использовать магазин приложений Google

В течение октября и ноября мы выявили в Google Play около 50 новых приложений, зараженных новой модификацией зловреда Trojan.AndroidOS.Ztorg.ad — Trojan.AndroidOS.Ztorg.am. Судя по показаниям счетчика установок, многие из них были установлены больше 100 000 раз.

Trojan.AndroidOS.Ztorg.am замаскированный под видеоплеер

Через Google Play распространялись и троянцы, предназначенные для кражи идентификационных данных. Один из таких случаев — Trojan-Spy.AndroidOS.Instealy.a, воровавший логины и пароли от Instagram. Второй — Trojan-PSW.AndroidOS.MyVk.a, неоднократно публиковался в Google Play и был нацелен на кражу данных пользователей социальной сети «ВКонтакте».

В качестве еще одного примера можно привести троянца-вымогателя Trojan-Ransom.AndroidOS.Pletor.d, распространявшегося злоумышленниками под видом приложения для чистки операционной системы. Вообще, представители семейства Trojan-Ransom.AndroidOS.Pletor шифруют файлы на зараженном устройстве, но обнаруженная модификация лишь блокировала гаджет и требовала у пользователя деньги за снятие блокировки.

Trojan-Ransom.AndroidOS.Pletor.d под видом чистильщика системы

Обход механизмов защиты Android

Злоумышленники постоянно ищут способы обхода новых защитных механизмов Android. Так, в начале 2016 года мы обнаружили, что некоторые модификации SMS-троянца Tiny способны перекрывать своим окном текст системного сообщения, предупреждающего пользователя об отправке SMS на короткий номер. Владелец смартфона, не видя оригинального текста, не знает, на что соглашается, и отправляет сообщение на номер, указанный злоумышленником.

Похожий способ использовал Trojan-Banker.AndroidOS.Asacub, чтобы получить права администратора устройства. Пряча от пользователя запрос системы, троянец обманом вынуждает его выдать себе дополнительные привилегии. Кроме прочего, Asacub запрашивает право быть стандартным приложением для работы с SMS, что позволяет ему получать доступ к сообщениям даже в новых версиях Android.

Еще дальше пошли авторы банковского троянца Trojan-Banker.AndroidOS.Gugi. Этот зловред способен обходить два новых механизма защиты Android 6, используя исключительно методы социальной инженерии. Не эксплуатируя никакие уязвимости системы, Gugi обходит такие защитные функции, как запрос на отображение своего окна поверх окон других приложений и механизм динамически запрашиваемых разрешений на потенциально опасные действия.

Мобильные программы-вымогатели

Если самый первый мобильный троянец-вымогатель действительно шифровал пользовательские данные на устройстве, требуя денег за их расшифровку, то современные программы-вымогатели просто отображают окно с требованиями поверх остальных окон (включая системные), таким образом делая невозможным использование устройства.

По такому же принципу работает самый популярный в 2016 году мобильный вымогатель Trojan-Ransom.AndroidOS.Fusob. Интересно, что этот троянец атакует пользователей из Германии, США и Великобритании, но избегает пользователей из СНГ и некоторых сопредельных государств (после запуска зловред проверяет язык системы, после чего может прекратить свою работу). За разблокировку троянец требует выкуп в размере $100-200 кодами от предоплаченных карт iTunes.

Хочется отметить еще один способ блокировки устройства, используемый популярным в Китае семейством Trojan-Ransom.AndroidOS.Congur. Эти троянцы-вымогатели меняют PIN-код гаджета или же включают эту защитную функцию, устанавливая свой PIN. Для этого зловреду нужно получить права администратора. Для разблокировки устройства жертве предлагают связаться со злоумышленниками посредством QQ-мессенджера.

Мобильные банковские троянцы активно развивались на протяжении всего года. Многие из них получили средства для обхода новых защитных механизмов Android и таким образом смогли продолжать воровать данные пользователей на самых свежих версиях ОС. Также разработчики банкеров активно внедряли новые функции в свои творения. Например, семейство Marcher в течение нескольких месяцев использовало перенаправление пользователя с сайтов финансовых организаций на фишинговые сайты.

Кроме того, многие мобильные банковские троянцы имеют функции для вымогания средств: по команде с сервера они могут заблокировать работу устройства окном с требованием выкупа. Как нам удалось выяснить, одна из модификаций Trojan-Banker.AndroidOS.Faketoken может не просто «закрыть собой» интерфейс системы, но и зашифровать пользовательские данные.

Необходимо отдельно отметить, что злоумышленники, создающие зловреды для Android, не забыли и об одной из самых горячих тем 2016 года — IoT-устройствах. В частности, мы обнаружили троянец Switcher, атакующий роутер, к Wi-Fi-сети которого подключено зараженное устройство. В случае если троянцу удалось подобрать пароль к роутеру, он меняет настройки DNS, осуществляя атаку DNS-hijacking.

Взгляд в глубину Темной паутины. Материал Глобального комплекса инноваций Интерпола

Темная паутина дает преступникам возможность общения и осуществления коммерческих операций, таких как приобретение и продажа различных товаров и услуг, включая пакеты вредоносного ПО для мобильных устройств. Продавцы и покупатели все активнее используют многочисленные механизмы, ориентированные на обеспечение безопасности и ведение бизнеса, реализованные на крипторынках, доступ на которые возможен через Tor (The Onion Router), – в том числе использование криптовалют, сторонние сервисы ответственного хранения (условного депонирования) средств, транзакции, заверяемые несколькими подписями, шифрование, отслеживание репутации/обратной связи и т.д. Интерпол изучил важнейшие платформы Темной паутины и выяснил, что вредоносное ПО для мобильных устройств предлагается для продажи в виде программных пакетов (таких как, например, троянские программы для удаленного доступа к устройству – RAT), отдельных инструментов, сложных решений, аналогичных продуктам специализированных фирм, или, в меньшем масштабе, ботов в рамках модели «бот как сервис». На мобильном вредоносном ПО также специализируются торговые точки Темной паутины, оно является предметом обсуждения на форумах и в социальных медиа.

Торговые площадки

На торговых площадках Темной паутины продаются различные мобильные вредоносные продукты и сервисы. Мобильное вредоносное ПО зачастую рекламируется в составе пакетов, которые могут включать в себя, например, троянские программы для удаленного доступа к устройствам (RAT), фишинговые страницы или «хакерские» программные пакеты, состоящие из аналитических инструментов и средств взлома паролей. Продаются также отдельные/специализированные инструменты. Например, программу DroidJack предлагали различные продавцы на четырех крупных торговых площадках. Этот популярный RAT для Android открыто продается на Clearnet по высокой цене, а в Темной паутине цена значительно ниже.

Оба варианта (программные пакеты и отдельные инструменты) иногда поставляются в комплекте с практическим руководством, объясняющим методы взлома популярных операционных систем, таких как Android и iOS. Более сложные инструменты также рекламируются в Темной паутине, например Galileo – система удаленного управления, разработанная итальянской IT-компанией Hacking Team для удаленного доступа к устройствам на базе Android, iOS, BlackBerry, Windows или OS X и последующей эксплуатации устройства. Еще один пример – исходный код Acecard. Эта вредоносная программа известна тем, что открывает свое окно поверх окон приложений для мобильного банкинга и передает учетные данные пользователя удаленному злоумышленнику. Она также может читать СМС-сообщения, из которых злоумышленники имеют возможность извлекать потенциально полезные для них коды для двухфакторной аутентификации.

Потенциальным клиентам предлагается также сервис аренды Android-ботов (BaaS, или Bot as a Service). Бот можно использовать для сбора финансовой информации с Android-смартфонов; он имеет обширный функционал и поставляется с документацией на английском и русском языках. По заказу могут быть разработаны дополнительные функции и возможности. Стоимость этого сервиса – до 2500 долларов в месяц или 650 долларов в неделю.

На торговых площадках Темной паутины можно найти также мобильные фишинговые продукты для получения финансовой информации, инструменты, позволяющие управлять смартфонами по Bluetooth или изменять их идентификатор IMEI (International Mobile Equipment Identity), а также различные RAT для Android, предназначенные для перехвата текстовых сообщений, журналов звонков и данных геолокации, и доступа к камере устройства.

Торговые точки, форумы и социальные медиа

Торговые точки – это автономные платформы, созданные отдельным продавцом или группой продавцов, которые наработали клиентскую базу на торговой площадке и затем решили открыть собственное дело. Как правило, такие площадки не имеют собственного форума и рекламируют всего один вид нелегального товара, такой как наркотики или краденые личные данные, однако они продают и вредоносное ПО для мобильных устройств (DroidJack). Вредоносные программы для мобильных устройств иногда поставляются с учебными пособиями; информацию о том, какие инструменты можно использовать для решения тех или иных задач, об их установке и использовании можно найти на форумах и в социальных медиа. Более того, в сети Tor был обнаружен скрытый от посторонних глаз ресурс, посвященный хакерским новостям и содержавший информацию о настройке мобильной вредоносной программы Dendroid. Этот RAT, способный перехватывать SMS-сообщения, загружать изображения и открывать фишинговые диалоговые окна для сбора пользовательских паролей, был создан в 2014 году, но по-прежнему продавался в 2016 году в составе различных предложений (пакетов) на различных торговых площадках.

Благодаря мощным средствам обеспечения анонимности пользователей, технологиям защиты конфиденциальной информации, низким ценам и клиентоориентированности Темная паутина остается привлекательной средой для ведения незаконного бизнеса и другой деятельности, в которой могут возникнуть или развиться новые направления преступной деятельности. Разработка инновационных технических решений (в тесном сотрудничестве с университетами, исследовательскими институтами и частными компаниями), международное сотрудничество и институциональное развитие – это та основа, на которой строится борьба с использованием Темной паутины преступниками.

Статистика

В 2016 мы зафиксировали существенный рост числа мобильных вредоносных установочных пакетовдо 8 526 221, что почти в три раза больше, чем в 2015 году. Для сравнения: с 2004 по 2013 годы мы обнаружили более 10 млн вредоносных инсталляционных пакетов, около 2,5 млн — в 2014 году.

Всего в период с начала января по конец декабря 2016 года «Лаборатория Касперского» отразила более 40 млн атак вредоносного мобильного ПО, защитив 4 018 234 уникальных пользователя Android-устройств (против 2,6 млн в 2015 году).

Количество атак, отраженных продуктами «Лаборатории Касперского», 2016 год

Количество пользователей, защищенных продуктами «Лаборатории Касперского», 2016 год

География мобильных угроз

Атаки мобильного вредоносного ПО зафиксированы более чем в 230 странах и территориях мира.

TOP 10 стран по проценту пользователей, атакованных мобильными зловредами

* Из рейтинга мы исключили страны, где количество активных пользователей мобильного антивируса «Лаборатории Касперского» за отчетный период было менее 25 000.
** Процент уникальных пользователей, атакованных в стране, по отношению ко всем пользователям мобильного антивируса «Лаборатории Касперского» в стране.

Китай, в прошлом году занимавший первое место в аналогичном рейтинге, продолжал удерживать первенство в течение первой половины 2016 г., но в итоге сместился на четвертую позицию, уступив первое место Бангладеш, который занимал лидирующие места в аналогичных рейтингах на протяжении всего года. В этой стране более половины пользователей мобильных продуктов «Лаборатории Касперского» столкнулись с вредоносным ПО.

Наиболее распространенными мобильными зловредами в Бангладеш в 2016 году оказались представители рекламных троянцев, относящихся к семействам Ztorg и Iop, а также рекламные программы семейства Sprovider. Эти же зловреды, а также представители семейств AdWare.AndroidOS.Ewind и AdWare.AndroidOS.Sprovider, наиболее часто встречаются на устройствах пользователей во всех странах ТОР 10, за исключением Китая и Узбекистана.

В Китае были наиболее распространены троянцы Backdoor.AndroidOS.Fakengry.h и Backdoor.AndroidOS.GinMaster.a, а также представители поведения RiskTool.AndroidOS.

В Узбекистане самыми распространенными зловредами стали Trojan-SMS.AndroidOS.Podec.a и Trojan-FakeAV.AndroidOS.Mazig.b. Кроме того, в Узбекистане часто встречались представители семейств рекламных троянцев Ztorg и Iop, а также рекламные программы семейства Sprovider.

Типы мобильных вредоносных программ

Начиная с этого года, мы рассчитываем распределение мобильных программ по типам, основываясь на количестве обнаруженных установочных пакетов, а не модификаций, как ранее.

Распределение новых мобильных угроз по типам в 2015 и 2016 годах

Наиболее значительно, по сравнению с прошлым годом, выросло количество обнаруженных новых угроз типа RiskTool — с 29% в 2015 году до 43% в 2016. В тоже время уменьшилась доля новых рекламных программ (AdWare) – c 21% до 13%.

Второй год подряд продолжает сокращаться доля установочных пакетов типа Trojan-SMS среди всех обнаруженных файлов — с 24% до 11%, что является наиболее заметным падением. Несмотря на это, нельзя говорить о том, что угроза Trojan-SMS более не актуальна — в 2016 году нам удалось обнаружить практически 700 000 новых инсталляционных пакетов.

Наибольший же рост показал тип Trojan-Ransom: его доля среди всех обнаруженных в 2016 году установочных пакетов выросла почти в 6,5 раза — до 4%. Такой рост был обусловлен активным распространением двух семейств мобильных вымогателей: Trojan-Ransom.AndroidOS.Fusob и Trojan-Ransom.AndroidOS.Congur.

ТOP 20 мобильных вредоносных программ

В рейтинг вредоносных программ, приведенный ниже, не входят потенциально нежелательные программы, такие как RiskTool и AdWare (рекламные программы).

*Процент пользователей, атакованных данным зловредом, от всех атакованных пользователей.

Первое место в нашей двадцатке за 2016 год занимает вердикт DangerousObject.Multi.Generic (67,93%), который мы используем для вредоносных программ, обнаруженных с помощью облачных технологий. Они применяются в тех случаях, когда в антивирусных базах еще нет ни сигнатур, ни эвристик для обнаружения зловредов. Так выявляется самое свежее вредоносное ПО.

Второе место занял Backdoor.AndroidOS.Ztorg.c — рекламный троянец, использующий права суперпользователя, чтобы незаметно устанавливать различные приложения. Стоит отметить, что в 2016 году в рейтинг вошло шестнадцать рекламных троянцев (выделены в таблице синим цветом), что на четыре больше, чем в аналогичном рейтинге 2015 года.

На третьем месте находится Trojan-Banker.AndroidOS.Svpeng.q, ставший самым популярным мобильным банковским троянцем в 2016 году. Своей известностью он обязан злоумышленникам распространявших его через рекламную сеть AdSense. Отдельно отметим, что благодаря уязвимости в браузере Chrome, от пользователя не требовалось совершать никаких действий для загрузки троянца на устройство. Надо сказать, что более половины пользователей, столкнувшихся с мобильными банковскими троянцами в 2016 году, встретились с представителями семейства Svpeng. Эти троянцы используют фишинговые окна для кражи данных о банковской карте, а также атакуют системы SMS-банкинга.

На 12 и 13 местах расположились представители семейства мобильных вымогателей Fusob — Trojan-Ransom.AndroidOS.Fusob.pac и Trojan-Ransom.AndroidOS.Fusob.h. Эти троянцы блокируют работу устройства с помощью своего окна, требуя выкуп за разблокировку.

Мобильные банковские троянцы

В 2016 году мы обнаружили 128 886 установочных пакетов мобильных банковских троянцев, что в 1,6 раза больше, чем в прошлом году.

Количество установочных пакетов мобильных банковских троянцев, обнаруженных «Лабораторией Касперского» в 2016 году

В 2016 году мобильными банковскими троянцами были атакованы 305 543 пользователя в 164 странах. Для сравнения: в 2015 году было атаковано 56 194 пользователя из 137 стран.

TOP 10 стран по доле пользователей, атакованных мобильными банкерами, среди всех пользователей

* Из рейтинга мы исключили страны, где количество активных пользователей мобильного антивируса «Лаборатории Касперского» за отчетный период было менее 25 000.
** Процент уникальных пользователей, атакованных мобильными банкерами в стране, по отношению ко всем пользователям мобильного антивируса «Лаборатории Касперского» в стране.

В России, занявшей первое место в этом рейтинге, с мобильными банковскими троянцами столкнулись 4% мобильных пользователей. Это практически в два раза больше, чем в Австралии, занявшей второе место. Разница легко объясняется тем, что самый популярный мобильный банковский троянец Svpeng распространялся в основном в России. Кроме него в стране были популярны представители семейств Asacub и Faketoken.

В Австралии активнее всего распространялись представители семейств Trojan-Banker.AndroidOS.Acecard и Trojan-Banker.AndroidOS.Marcher. В Корее (7-е место) самыми популярными банковскими троянцами стали представители Trojan-Banker.AndroidOS.Wroba.

Во всех остальных странах из нашего ТОР 10 активнее всего распространялись семейства мобильных банкеров Trojan-Banker.AndroidOS.Faketoken и Trojan-Banker.AndroidOS.Svpeng. Представители последнего наиболее активно распространялись в 2016 году: больше половины пользователей мобильных устройств были атакованы именно ими. Связано это, как мы уже упоминали, с распространением вредоносного ПО через рекламную сеть AdSense и его незаметную загрузку благодаря уязвимости мобильного браузера.

Вторым по популярности семейством стало Trojan-Banker.AndroidOS.Faketoken. Некоторые модификации этого троянца могут атаковать более 2000 финансовых приложений.

Третьим по популярности семейством мобильных банковских троянцев стало Trojan-Banker.AndroidOS.Asacub. Более 16% пользователей, атакованных мобильными банкерами, столкнулись с этим семейством. Троянцы распространяются в основном в России, зачастую через SMS-спам.

Мобильные троянцы-вымогатели

В 2016 году мобильные вымогатели показали внушительный рост — как в количестве обнаруженных установочных пакетов, так и в количестве атакованных пользователей. Первых в 2016 год нами было обнаружено 261 214, что практически в 8,5 раз больше, чем в 2015 году.

Количество установочных пакетов мобильных троянцев вымогателей, обнаруженных «Лабораторией Касперского» (Q1 2016 — Q4 2016)

Что касается количества пользователей, столкнувшихся с этим типом вредоносного ПО, то их число составило 153 258 человек из 167 стран, что в 1,6 раза больше, чем в 2015 г.

Интересно, что большое количество установочных пакетов в первых двух кварталах 2016 года было связано с семейством Trojan-Ransom.AndroidOS.Fusob, но в третьем квартале активность этого троянца пошла на спад. Рост в четвертом квартале связан с возросшей активностью семейства Trojan-Ransom.AndroidOS.Congur — в него входят достаточно простые троянцы, которые либо блокируют устройство своим окном, либо меняют пароль к гаджету.

TOP 10 стран по доле пользователей, атакованных Trojan-Ransom, среди всех пользователей

* Из рейтинга мы исключили страны, где количество активных пользователей мобильного антивируса «Лаборатории Касперского» за отчетный период было менее 25 000.
** Процент уникальных пользователей, атакованных мобильными вымогателями в стране, по отношению ко всем пользователям мобильного антивируса «Лаборатории Касперского» в стране.

Наибольшее количество мобильных пользователей, столкнувшихся с программами-вымогателями, мы зафиксировали в Германии — более 2,5%. Практически во всех странах, попавших в этот рейтинг, наибольшую «популярность» снискали представители семейств Trojan-Ransom.AndroidOS.Fusob и Trojan-Ransom.AndroidOS.Svpeng. Лишь в Казахстане, занявшем 5-е место, самыми часто встречающимися вымогателями были различные модификации семейства Trojan-Ransom.AndroidOS.Small.

Более подробно про эти три семейства мобильных троянцев вымогателей можно прочитать в отдельном исследовании.

Заключение

В 2016 году рост числа рекламных троянцев, которые могут использовать права суперпользователя, продолжился. На протяжении всего года это было угрозой номер 1 и поводов к изменению этой тенденции мы пока не видим. Злоумышленники пользуются тем, что большинство устройств не получают (или получают поздно) обновления операционной системы. Это приводит к тому, что большинство устройств уязвимо к старым, хорошо известным и легко доступным эксплойтам.

В этом году мы с продолжим пристальное наблюдение за развитием мобильных банковских троянцев: разработчики этого класса вредоносного ПО первыми используют новые технологии и старательно ищут способы обхода защитных механизмов, внедряемых в новые версии мобильных операционных систем.

В 2016 году одной из самый острых тем стала безопасность IoT-устройств. Различные «умные» устройства с возможностью подключения к интернету становятся все популярнее, но их безопасность находится на довольно низком уровне. Еще в 2016 году мы обнаружили троянца, атакующего домашние роутеры. Мы видим, что злоумышленникам становится тесно на телефоне, и они начинают взаимодействовать с окружающим миром. Возможно, именно в 2017 году мы увидим полноценные атаки на представителей Интернета вещей с мобильных устройств.