Буткит для Android инфицировал 350 тыс. мобильных устройств

«Доктор Веб» предупреждает пользователей ОС Android о появлении нового троянца, который располагается во встроенной flash-памяти инфицированных мобильных устройств и функционирует как буткит, запускаясь на ранней стадии загрузки операционной системы. Это позволяет ему минимизировать возможность своего удаления без вмешательства в структуру файловой системы устройств. В настоящее время вредоносная программа активна на более чем 350 тыс. мобильных устройств, принадлежащих пользователям из разных стран.

Для распространения троянца, внесенного в вирусную базу Dr.Web под именем Android.Oldboot.1.origin, злоумышленники воспользовались весьма оригинальным методом, разместив один из компонентов вредоносной программы в загрузочном разделе файловой системы и соответствующим образом изменив скрипт, отвечающий за последовательность активации компонентов ОС. При включении мобильного устройства данный скрипт инициирует работу троянской Linux-библиотеки imei_chk, которая в процессе своей работы извлекает файлы libgooglekernel.so и GoogleKernel.apk и помещает их в каталоги /system/lib и /system/app соответственно. Таким образом, часть троянца устанавливается в систему как обычное приложение и в дальнейшем функционирует в качестве системного сервиса, подключаясь к удаленному серверу и получая от него различные команды — в частности загрузки, установки или удаления определенных приложений. Наиболее вероятным путем внедрения данной угрозы на мобильные устройства является установка злоумышленниками модифицированной версии прошивки, содержащей необходимые для работы троянца изменения.

Основная опасность этой вредоносной программы заключается в том, что даже в случае успешного удаления элементов Android.Oldboot, которые были установлены после включения мобильного устройства, находящийся в защищенном разделе flash-памяти компонент imei_chk при последующей перезагрузке вновь осуществит их установку, тем самым повторно инфицировав операционную систему.

В настоящее время данная вредоносная программа активна на более чем 350 тыс. мобильных устройств, принадлежащих пользователям из Испании, Италии, Германии, России, Бразилии, США, а также ряда государств Юго-восточной Азии. Однако большая часть пострадавших пользователей (92%) находится в Китае, что неудивительно, так как троянец Android.Oldboot предназначен, в первую очередь, для китайских владельцев Android-устройств.

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365