Появление и развитие вирусов для мобильных устройств

В области современных технологий наблюдается тенденция к всесторонней взаимной интеграции. Беспроводные устройства быстро «умнеют», стремясь к возможностям персонального компьютера, а «умная» техника — КПК, автомобильные компьютеры и бытовые приборы нового поколения — обзаводится функциями беспроводной связи. Судя по всему, эти процессы сойдутся в начале эпохи «цифровых домов», глобальных сетей из разнообразных устройств, обменивающихся друг с другом данными непосредственно, как любят выражаться поклонники киберпанка, по «насыщенному двоичными битами воздуху». Нужно ли объяснять, какие опасности для пользователей таят в себе подобные тенденции, и какие возможности они открывают для злоумышленников?

Конечно, мы пока далеки от мира, в котором для получения контроля над чужой машиной не требуется ничего, кроме ноутбука с адаптером беспроводной связи, но проблема безопасности мобильных устройств актуальна уже сегодня, и неудивительно, что ее первым проявлением оказались компьютерные вирусы.

На первый взгляд, проблема вирусов является лишь частным случаем проблемы безопасности цифровой системы, но история «стационарных» компьютерных вирусов опровергает это предположение: в ходе своего развития вредоносные программы для персональных компьютеров постепенно мутировали от невинных поделок скучавших программистов и самоутверждавшихся студентов до сложных профессиональных решений, связанных с извлечением финансовой выгоды. К сегодняшнему дню грани между вирусами и сетевой безопасностью, уязвимостями программного обеспечения, рекламными технологиями и криминальными структурами оказались практически стерты. Поэтому невозможно преувеличить важность исследования вирусных технологий в контексте обеспечения безопасности цифровых систем.

Данный аналитический обзор посвящен современным вирусным угрозам для мобильных устройств — техники, работающей под управлением портативных операционных систем и оснащенной технологиями беспроводной передачи данных — и в теории относится к ним всем. Однако его практическая сторона касается в основном смартфонов и коммуникаторов. Именно этот сектор мобильных устройств наиболее привлекателен для вирусописателей, в отличие от КПК, которые не гарантируют удобной почвы для распространения вирусов ввиду отсутствия должного уровня связности, и прочей мобильной техники, степень распространенности которой пока близка к нулю.

• История вирусов для мобильных устройств
• Уязвимость мобильных устройств
• Угрозы безопасности мобильных устройств
• Программные платформы
• Средства защиты от мобильных вирусов
• Тренды и прогнозы на ближайшее будущее

История вирусов для мобильных устройств

История вирусов для мобильных устройств начинается в июне 2004 года, когда командой вирусописателей-профессионалов 29А был создан первый вирус для смартфонов. Вирус «называет себя» Caribe, функционирует на базе операционной системы Symbian и распространяется при помощи технологии беспроводной передачи данных Bluetooth, за что получил название Worm.SymbOS.Cabir в классификации «Лаборатории Касперского».

Самый первый Worm.SymbOS.Cabir хоть и произвел много шума, являлся исключительно концептуальной разработкой (Proof-of-Concept, PoC) — демонстрацией самой возможности существования вирусов на платформе ОС Symbian. Авторы такого рода разработок, движимые любознательностью и стремлением поспособствовать укреплению безопасности атакованной ими системы, обычно не заинтересованы в их распространении или злоумышленном использовании. Действительно, оригинальный экземпляр Worm.SymbOS.Cabir был разослан в антивирусные компании по поручению самого автора, однако позже исходные коды червя появились в интернете, что повлекло за собой создание большого количества новых модификаций данной вредоносной программы. Фактически, после публикации исходных кодов Cabir начал самостоятельно «бродить» по мобильным телефонам во всем мире.

Через месяц после Cabir антивирусные компании обнаружили очередную технологическую новинку. Virus.WinCE.Duts занял сразу две «почетные ниши» в коллекциях вирусологов: это первый известный вирус для платформы Windows CE (Windows Mobile), а также — первый файловый вирус (file infector) для смартфонов. Duts заражает исполняемые файлы в корневой директории устройства, предварительно, правда, спросив разрешения у пользователя.

Продолжение виртуальной атаки на Windows Mobile со стороны вирусописателей не заставило себя долго ждать: через месяц после Duts появился Backdoor.WinCE.Brador — первый бэкдор для мобильной платформы. Эта вредоносная программа открывает доступ к зараженному устройству — КПК или смартфону — по сети, ожидая подключения злоумышленника на определенном порту. Ее функционал позволяет передавать в обе стороны файлы и выводить на экран текстовые сообщения. Когда зараженное устройство подключается к интернету, бэкдор отсылает его IP-адрес по электронной почте своему хозяину.

На этом активность самых квалифицированных исследователей безопасности мобильных устройств, авторов концептуальных вирусов, представляющих радикально новые технологии в области вирусописательства, практически заканчивается. Последовавший за Brador Trojan.SymbOS.Mosquit представляет собой изначально безвредную игру для платформы Symbian (Mosquitos), в код которой неизвестный злоумышленник внес некоторые исправления. Модифицированная игра при запуске начинает отправлять SMS-сообщения на указанные в коде номера телефонов, подпадая под определение «троянской программы».

После трехмесячного перерыва, в ноябре 2004, на некоторых интернет-форумах мобильной тематики был под видом установочного пакета новых иконок и «тем» рабочего стола размещен новый Symbian-троянец — Trojan.SymbOS.Skuller. Программа представляет собой SIS-файл — приложение-инсталлятор для платформы Symbian. Ее запуск и установка в систему приводит к подмене иконок (AIF-файлов) стандартных приложений операционной системы на иконку с изображением черепа. Одновременно в систему, поверх оригинальных, устанавливаются новые приложения. Переписанные приложения перестают функционировать.

Таким образом, Trojan.SymbOS.Skuller продемонстрировал всему миру две неприятные особенности архитектуры Symbian:

• возможность беспрепятственной перезаписи системных приложений;
• отсутствие устойчивости операционной системы по отношению к поврежденным либо нестандартным («неожиданным») системным файлам с одной стороны, и отсутствие необходимых для закрытия этой уязвимости проверок — с другой.

Уязвимости были быстро подхвачены любителями самоутвердиться за счет создания вирусов. Skuller стала родоначальницей самого большого на сегодняшний день класса вредоносных программ для мобильных телефонов. Функциональность таких программ чрезвычайно примитивна и сводится к прямолинейной эксплуатации вышеуказанных особенностей Symbian. Если провести параллель с PC-вирусами, по соотношению абсолютной вредности и технической сложности представители этого класса вирусов аналогичны BAT-файлам DOS, выполняющим команду «format c:».

Второй троянец этого класса — Trojan.SymbOS.Locknut — появился через два месяца. Он эксплуатирует «доверчивость» (отсутствие проверок целостности файлов) Symbian уже более целенаправленно. После запуска вирус создает в системной директории /system/apps/ папку с неблагозвучным с точки зрения русского языка названием gavno, внутри которой размещается файл gavno.app и сопутствующие ему gavno.rsc и gavno_caption.rsc. При этом во всех файлах вместо соответствующей их форматам служебной информации и кода содержится обычный текст. Операционная система, исходя только из расширения файла gavno.app, считает его исполняемым — и зависает, пытаясь запустить «приложение» после перезагрузки. Включение смартфона становится невозможным.

С этого момента начали появляться троянцы, эксплуатирующие уязвимость Symbian. Они регулярно появляются и по сей день, отличаясь лишь конкретным способом эксплуатации.

• Trojan.SymbOS.Dampig, перезаписывающая системные приложения поврежденными.
• Trojan.SymbOS.Drever, отключающая автоматический запуск некоторых антивирусов путем перезаписи их загрузчиков.
• Trojan.SymbOS.Fontal, подменяющая системные файлы шрифтов на другие, абсолютно работоспособные, но не соответствующие данному языковому дистрибутиву операционной системы файлы шрифтов, в результате чего телефон перестает загружаться.
• Trojan.SymbOS.Hobble, заменяющая системное приложение File Explorer на поврежденное.
• Trojan.SymbOS.Appdisabler и Trojan.SymbOS.Doombot, повторяющие функционал Trojan.SymbOS.Dampig (вторая также инсталлирует в систему Worm.SymbOS.Comwar).
• Trojan.SymbOS.Blankfont, практически аналогичная Trojan.SymbOS.Fontal.

Сплошная череда однотипных троянцев прерывается лишь червями Worm.SymbOS.Lasco (январь 2005) — дальним родственником Worm.SymbOS.Cabir, отличающимся от него наличием функции заражения SIS-файлов; и Worm.SymbOS.Comwar (март 2005), впервые реализующим технологию самораспространения при помощи MMS.

Рис.1. Увеличение количества известных семейств мобильных вирусов.

Если обратить внимание на динамику изменения функционала появлявшихся после Cabir вредоносных программ для мобильных платформ, то история мобильных вирусов предстает разделенной на две «эпохи»: первые полгода с момента появления первого вируса — с июня 2004 по январь 2005 — период технологических прорывов; следующие же полгода — с января 2005 по настоящее время — период засилья примитивных троянцев для Symbian. А если учитывать, что первые упоминания о черве Worm.SymbOS.Comwar появились в интернете за два месяца до того, как его экземпляр попал в антивирусные компании, и что Worm.SymbOS.Lasco фактически является переработкой Worm.SymbOS.Cabir — граница между двумя эпохами выглядит особенно четкой.

Таким образом, на сегодняшний день качественное развитие области мобильных вирусов проходит стадию плато: последней вредоносной программой, воплотившей в себе принципиально новую технологию, была Worm.SymbOS.Comwar (март 2005). Количественное развитие равномерно: новые вредные программы под ОС для мобильных устройств (не считая модификаций уже известных вирусов) появляются в среднем один раз в месяц.

Уязвимость мобильных устройств

Сфера интеллектуальных мобильных устройств, будучи относительно молодой, в настоящий момент полностью «открыта» и беззащитна как с технической, так и с социальной точки зрения. С одной стороны, техническая защищенность системы возрастает лишь в условиях «гонки вооружений» — бесконечной череды нападок атакующего и контрмер защищающегося. Для карманных компьютеров и «умных» телефонов «проверка боем» только началась, поэтому их безопасность находится на некоем изначальном, «нулевом» уровне.

С другой стороны, из теории защиты информации известно, что человеческий фактор может свести на нет все технические усилия по обеспечению безопасности системы. Учитывая инертность массового сознания по сравнению со скоростью развития высоких технологий, техническое решение обнаруженной проблемы безопасности какое-то время не имеет должного эффекта. Обобщенному «пользователю компьютера» потребовались годы после начала вирусных эпидемий на то, чтобы включить антивирусные утилиты в свой набор программ, и месяцы после начала эпидемий почтовых червей на то, чтобы научиться менее легкомысленному отношению к запуску неизвестных программ, приходящих по электронной почте.

За демонстрацией уязвимости мобильной безопасности со стороны человеческого фактора далеко ходить не приходится: появившийся больше года назад Worm.SymbOS.Cabir в настоящее время все чаще обнаруживается на мобильных устройствах по всему миру. При этом технические предпосылки для такой живучести отсутствуют, равно как и информационные:

1. червь не использует каких-либо уязвимостей, и для того, чтобы смартфон заразился, пользователю необходимо дважды подтвердить загрузку и запуск неизвестной программы;
2. существует несколько общедоступных антивирусных решений для мобильных устройств от разных производителей;
3. вызванная появлением первого мобильного червя шумиха в прессе должна была достичь ушей даже самых оторванных от мира пользователей телефонов;
4. информация о Cabir доступна на любом сайте антивирусной тематики.

Из совокупности этих факторов следует вывод, что в настоящее время небезопасность мобильных систем гарантируется одним только человеческим фактором, вне какого-либо технического контекста.

Об уровне же технической защищенности смартфонов можно приблизительно судить по тому, с какой легкостью выводится из строя (вплоть до необходимости в сервисной перепрошивке) аппарат под управлением ОС Symbian. Как следует из приведенной выше таблицы, функционал большинства известных мобильных вирусов основан исключительно на эксплуатации нескольких «особенностей» этой операционной системы: возможности перезаписи любых файлов, включая системные, и крайней неустойчивости системы при ее столкновении с неожиданными (нестандартными для данного дистрибутива либо поврежденными) файлами.

Другой пример: большинство производителей техники с функцией обмена информацией через Bluetooth по умолчанию включают эту функцию. Учитывая антипатию среднего пользователя к технической документации, владельцы подобных устройств могут даже не подозревать о том, что их мобильный телефон «видим» для всех владельцев Bluetooth-устройств в окрестности 10-20 метров и потенциально открыт для обмена информацией.

Ситуация кажется особенно пугающей, если учитывать привлекательность сферы мобильных устройств для разнообразных вирусописателей. От сферы компьютеров ее отличают следующие «выгодные» особенности:

1. Повышенная «качественная» контактность между устройствами: как правило, мобильные устройства способны обеспечивать постоянную связь с внешним миром (с мобильными сетями, интернетом, с компьютерами и друг с другом). С этой целью они оснащены большим количеством технологий обмена данными: от традиционных (SMS, MMS) до пока еще новых (Bluetooth, Wi-Fi).
2. Повышенная «количественная» контактность между устройствами: их носят с собой повсюду. В процессе этих перемещений устройства, входя в сферу действия Bluetooth-связи с другими аппаратами, получают возможность обмениваться данными «по воздуху». Носимый в кармане мобильный телефон за считанные часы входит в контакт с тысячами других телефонов, а в условиях больших скоплений людей они образуют мощные сети передачи данных.
3. Интегрированные с компьютерными мобильные технологии представляют собой исключительно удобную почву для спамерских рассылок и профессионального шпионажа.
4. Технологии беспроводной передачи данных в настоящий момент могут обеспечить злоумышленнику близкую к абсолютной степень анонимности.

Первые два пункта создают серьезные предпосылки для мгновенной и глобальной эпидемии (например, в случае появления достаточно мощного Bluetooth-червя), а последние два будут способствовать привлечению в мобильную область вирусописателей-профессионалов, работающих в связке с криминальными структурами.

Угрозы безопасности мобильных устройств

Самую большую угрозу безопасности мобильных устройств в контексте вирусологии представляют собой самостоятельно распространяющиеся вирусы — черви. Червь потенциально способен вызвать очень быстрое заражение большого количества систем, нарушив работоспособность мобильной сети либо превратив ее в подконтрольную злоумышленнику распределенную сеть.

В настоящий момент вирусологии известно два червя (без учета их модификаций) для мобильных телефонов: Worm.SymbOS.Cabir, алгоритм распространения которого основан на использовании технологии Bluetooth, и Worm.SymbOS.Comwar, размножающийся как по Bluetooth, так и при помощи MMS. Детальный анализ этих червей можно найти в «Вирусной энциклопедии», здесь же хотелось бы более подробно рассмотреть механизмы их самораспространения.

Червь Worm.SymbOS.Cabir использует технологию Bluetooth «честно», не эксплуатируя никаких уязвимостей. При запуске он начинает сканировать окружающее пространство на наличие доступных через Bluetooth устройств, и «по воздуху» отсылает им копию самого себя в виде SIS-архива. При этом на экране атакованного телефона, вне зависимости от установленной в нем операционной системы, появляется уведомление о входящем файле и запрос на его загрузку. Далее, если пользователь Symbian-телефона отвечает на запрос положительно, файл сохраняется в память и автоматически запускается на исполнение. При этом система инсталляции SIS-файлов запрашивает у пользователя подтверждения установки, и после его получения червь инсталлируется в систему, начиная новый цикл сканирования и заражений. Пользователям Windows Mobile-телефонов, загрузившим файл червя, ничто не угрожает, поскольку червь способен функционировать только под ОС Symbian. Ничто не угрожает и владельцам автомобилей с бортовыми компьютерами на базе ОС Symbian: в соответствии с проведенными исследованиями, слухи о возможности их заражения Bluetooth-червем не имеют под собой оснований.

Червь Worm.SymbOS.Comwar, помимо технологии Bluetooth, использует для самораспространения технологию MMS. Для этого он рассылает по номерам телефонов адресной книги MMS-сообщения с вложенной копией своего инсталляционного файла. В процедуре рассылки зараженных сообщений запрограммирована задержка по времени. Возможно, только благодаря этому Worm.SymbOS.Comwar, будучи по функционалу существенно опаснее Worm.SymbOS.Cabir, пока не получил очевидного преимущества по распространенности.

Тема и текст рассылаемых червем сообщений составлены с использованием ставших классическим среди email-червей методов социальной инженерии, призванных усыпить бдительность пользователей: «Nokia RingtoneManager for all models», «Symbian security update» и т.п. Symbian-телефон, получив такое сообщение, автоматически запускает вложенный в него файл, вследствие чего вирус устанавливается в систему. Windows-устройства заражению не подвержены.

Сложно сказать, какой из механизмов саморазмножения червей для мобильных телефонов более опасен. Технология MMS поддерживается большим, чем Bluetooth количеством телефонов и не нуждается в попадании зараженного устройства в сферу действия Bluetooth других устройств. С другой стороны, у Bluetooth — полная универсальность, позволяющая объединять для обмена данными разнотипные устройства, и автономность функции распространения, из-за которой борьба с вирусом не может вестись централизованно, на стороне сотового оператора, проверяющего трафик.

Рис. 2. Статистика F-Secure по числу стран, в которых были зафиксированы прецеденты заражений.

Программные платформы

На сегодняшний день наиболее распространены следующие операционные системы для мобильных устройств: Windows CE (Pocket PC, Windows Mobile), Symbian OS, Palm OS и Linux. В секторе КПК и коммуникаторов преобладает Windows, в секторе смартфонов — Symbian. Palm OS и Linux в целом по области карманных устройств распространены незначительно.

О степени защищенности той или иной платформы судить пока рано. Однако результаты тестирования существующих мобильных вирусов показывают, что Symbian-телефоны автоматически обрабатывают (загружают, проигрывают, запускают) любой попавший в папку «Входящие» файл, в том числе и полученный по Bluetooth или MMS — будь это картинка, аудио-файл или инсталлятор. Windows Mobile-телефоны лишь сохраняют полученный файл в память (обычно в папку «Мои документы»). Поскольку нам не представляется возможным протестировать все существующие смартфоны и коммуникаторы, есть вероятность, что указанное отличие не столько межплатформенное, сколько межмодельное. Но даже в этом случае статистически оно сводится к межплатформенному.

Исходя из всего вышесказанного наиболее подверженной вирусным атакам и наиболее уязвимой для них выглядит платформа Symbian. Однако это не более чем отражение текущего состояния рынка, и вряд ли может быть свидетельством «иммунности» Windows Mobile. Просто уязвимость ОС Symbian, как наиболее распространенной и вследствие этого наиболее подверженной атакам вирусописателей платформы для смартфонов, оказалась продемонстрирована в первую очередь.

Средства защиты от мобильных вирусов

В настоящий момент существует несколько программных решений для защиты мобильных устройств от вирусов. В «Лаборатории Касперского» разработаны версии антивируса для Windows CE (Pocket PC, Windows Mobile), Symbian (6, 7, 8 версий и UIQ), а также для Palm OS. Подобные продукты предлагаются как известными производителями PC-антивирусов (TrendMicro, Network Associates, F-Secure), так и молодыми компаниями, специализирующимися непосредственно на разработке мобильных антивирусных решений (Airscanner, Simworks).

В случае с MMS-червями для мобильных телефонов оптимальной представляется защита на стороне оператора, при которой весь MMS-трафик проходит через интернет-сервер с установленным на нем антивирусным продуктом.

Тренды и прогнозы на ближайшее будущее

Спрогнозировать дальнейшее развитие в области мобильных вирусов довольно сложно, поскольку она пребывает в состоянии неустойчивого равновесия: количество факторов, провоцирующих серьезные угрозы безопасности, растет быстрее, чем готовность к ним технической и социальной среды.

К увеличению количества вредоносных программ для мобильных устройств в частности и к увеличению угроз для безопасности смартфонов в целом ведут следующие тенденции:

1. постоянно растет процент смартфонов среди используемых для мобильной связи устройств. Чем популярнее технология, тем проще и выгоднее ее атаковать;
2. по мере того, как область расширяется, увеличивается и количество квалифицированных специалистов, потенциально способных атаковать ее безопасность;
3. смартфоны становятся все более мощными и функциональными, начиная вытеснять собой карманные компьютеры. Это значит, что у вирусов и вирусописателей появляется все больше возможностей;
4. увеличение функциональности устройства естественным образом ведет к увеличению количества потенциально интересной информации, которая в нем хранится. В отличие от обычного мобильного телефона, содержащего в среднем случае лишь адресную книгу, в памяти смартфона могут храниться любые файлы из тех, которые обычно хранят на диске компьютера. А использование программ для доступа к защищенным паролем онлайн-сервисам (например, ICQ) ставит под угрозу безопасность личных данных.

С другой стороны, негативные тенденции пока уравновешиваются факторами, тормозящими процесс возникновения вышеуказанных угроз: процент смартфонов по-прежнему низок, а на рынке мобильных устройств отсутствует выраженное преобладание той или иной операционной системы. Это в настоящий момент блокирует риск глобальной вирусной эпидемии: для того, чтобы поразить большинство смартфонов, вирусу пришлось бы быть мультиплатформенным, и даже в таком случае основная часть пользователей мобильных сетей остаются в безопасности, пользуясь устройствами со стандартным функционалом.

Реальная опасность для пользователей мобильных устройств возникнет тогда, когда противовес «негативным» тенденциям естественным образом исчерпается. В частности, по данным аналитической группы SmartMarketing, доля платформы Symbian на российском рынке КПК и смартфонов стабильно увеличивается на протяжении последних 2-3 лет, сравнявшись к середине 2005 с Windows Mobile и открыв вероятность вытеснения последней.

Таким образом, на сегодняшний день угроза глобальной эпидемии мобильных вирусов отсутствует, отступая в недалекое (1-2 года) будущее: примерно столько времени может потребоваться для достижения критической массы по количеству смартфонов, квалифицированных в данной области вирусописателей и для стандартизации платформ. Что, впрочем, не отменяет вирусную угрозу как таковую — совершенно очевидно, что освоение области мобильных телефонов находится в числе основных приоритетов большинства вирусописателей. Это значит, что вирусная экспансия в эту область будет постепенно продолжаться, открывая новые технологии распространения и совершения нежелательных для пользователей действий. Будет возрастать и количество троянцев для Symbian, эксплуатирующих ее уязвимые места, по большей части примитивных (Fontal- и Appdisabler-подобных).

Но общая динамика освоения вирусописателями мобильной области предположительно будет сохраняться еще как минимум полгода, в течение которых нас ждет равномерный поток аналогов уже известных вирусов с очень редкими вкраплениями технологических новшеств. Дополнительным толчком для вирусописателей послужит очевидная экономическая выгода, например, широкое использование мобильных телефонов для операций с системами электронных платежей.