Android-троянцы начали внедряться в системные процессы

Архитектура вредоносных программ для мобильной платформы Android усложняется с каждым годом: если первые троянцы для этой системы представляли собой довольно примитивные приложения, то нынешние порой не уступают по сложности даже самым изощренным Windows-троянцам. В феврале 2016 г. специалисты «Доктор Веб» выявили целый комплект вредоносных приложений для ОС Android, обладающих широчайшим спектром функциональных возможностей.

Этот набор состоит из трех действующих совместно троянцев, получивших наименования Android.Loki.1.origin, Android.Loki.2.origin и Android.Loki.3. Первый из них загружается с помощью библиотеки liblokih.so, которая внедряется в один из системных процессов троянцем Android.Loki.3 — в результате Android.Loki.1.origin получает возможность действовать в системе с привилегиями пользователя system. Этот троянец может скачать из официального каталога Google Play любое приложение, удалять приложения, останавливать процессы, демонстрировать уведомления и т.д.

Вторая вредоносная программа — Android.Loki.2.origin — предназначена для установки на зараженное устройство различных приложений по команде с управляющего сервера, а также для демонстрации рекламы. Однако обладает этот троянец и шпионскими функциями — при запуске он собирает и отправляет злоумышленникам различную информацию. В ответ он получает задание либо на установку того или иного приложения (они в том числе могут загружаться из каталога Google Play), либо на отображение рекламы.

Наконец, Android.Loki.3 реализует на инфицированном устройстве две функции: внедряет библиотеку liblokih.so в процесс системной службы system_server и позволяет выполнять команды от имени суперпользователя (root), которые поступают от других троянцев семейства Android.Loki. Фактически, Android.Loki.3 играет роль сервера для выполнения шелл-скриптов: киберпреступники передают троянцу путь к сценарию, который следует выполнить, и Android.Loki.3 запускает этот скрипт.

Поскольку троянцы семейства Android.Loki размещают часть своих компонентов в системных папках ОС Android, при обнаружении на устройстве любой из таких вредоносных программ самый оптимальный способ ликвидировать последствия заражения — перепрошивка устройства с использованием оригинального образа ОС.

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365