Искусство цифровой самозащиты

Подавляющее большинство вредоносного программного обеспечения под Android и iOS маскируется под легитимное ПО и требует прямого участия пользователя: он сам должен скачать и установить такое ПО. Мошенники скрывают вирусы под видом безобидных приложений и файлов: браузеры, плееры, игры, навигаторы, книги, антивирусы. Затем они распространяют их:

• на сайтах для взрослых, сайтах со взломанными приложениями и пиратскими фильмами, торрент-трекерах и т. п. Например, вы ищете в интернете какую-нибудь игру или программу и попадаете на форум. Кто-то оставил нужную ссылку или файл, и все дружно его благодарят. На самом деле форум и комментаторы ненастоящие;

• по СМС, MMS и электронной почте. Как правило, это СМС от «девушек с сайтов знакомств», с сайтов бесплатных объявлений, письма от «нотариусов из Германии», сообщения о выигрыше в лотерею. Будьте осторожны, в большинстве случаев это мошенники.

Эксплойты под Android и iOS никто не отменял, и уязвимостей под эти операционные системы ничуть не меньше, чем под Windows или MacOS. Подхватить вредоноса, посещая зараженный веб-сайт, тоже можно, но таких случаев единицы, и они скорее используются спецслужбами, о чем я напишу ниже. Куда чаще ошибки в операционных системах используются вредоносным ПО, чтобы обойти ограничения операционных систем и спрятать себя из списка установленных программ, перехватить ввод или прочитать ваши СМС, получить пароли из браузеров или перенаправить вас на фишинговые сайты.

Вот несколько примеров самых опасных зловредов под Android:

Triada

Данный вирус обнаружили в марте 2017 года. Уникален он своей близостью к классическим вирусам, а не к троянам-вымогателям, как это обычно бывает на Android.

Попав в устройство, эти троянцы первым делом собирают данные о системе: модель устройства, версия ОС, объем SD-карты, список установленных приложений и т. п. Затем отправляют собранную информацию на командный сервер.

Получив сообщение от троянца, командный сервер в ответ посылает ему файл с конфигурациями, содержащий персональный ID зараженного устройства и набор настроек: через какие временные промежутки вирус должен связываться с сервером, какие модули ему нужно установить и тому подобное. После установки модулей они стираются из памяти устройства и остаются только в оперативной памяти.

Особенность «Триады» заключается в том, что это модульный вирус, к нему можно подключить самый разный функционал.

Marcher

Так называемый «банковский зловред» был разработан еще в 2013 году, но его «звездный час» настал летом 2016 года. Знаменит хорошей маскировкой и «интернационализмом».

Marcher представляет собой простой троян, который не проворачивает ничего сверхъестественного, а просто подменяет собой служебные страницы огромного количества банков с помощью всплывающих окон. Механизм следующий:

• Троян проникает в систему вместе с зараженным приложением.

• Ищет на смартфоне банковские приложения и приложения интернет-магазинов, выбирает «заготовки» в соответствии с тем, каким банком вы пользуетесь.

• Отправляет на смартфон «приманку» – сообщение в шторке уведомлений со значком банка/магазина и сообщением в стиле «на ваш счет поступило N рублей»/«купон на скидку 75 % для любого товара только сегодня!».

• Владелец смартфона кликает на уведомление, после чего троян открывает точнейшую копию – страницу, oдин в oдин похожую на ту, что вы привыкли видеть в официальном приложении. И говорит что-то в стиле «соединение с сетью прервано, повторите ввод данных банковской карты».

• Владелец смартфона вводит данные банковской карты – и деньги с карты уходят злоумышленнику.

Godless

Троян Godless впечатляет своей маскировкой – длительное время его наличие в приложениях не распознавала даже хваленая система антивирусной проверки в Google Play. Результат предсказуем: зловред заразил свыше 850 тысяч смартфонов по всему миру, причем почти половина из них принадлежит жителям Индии.

Для начала Godless добывает на смартфоне root-права. После этого троян отправляет себя в папку /system (откуда его уже не удалить без перепрошивки) и шифрует себя при помощи AES-ключа.

С полным комплектом прав доступа Godless начинает понемногу воровать личные данные пользователя со смартфона и устанавливать сторонние приложения.

Pegasus

Эксплойтами пользуются не только киберпреступники, но и спецслужбы. Спецслужбы даже скупают всевозможные уязвимости для целей взлома систем и слежения.

Одной из разработок для слежения за людьми является шпионское ПО Pegasus. Следы этой шпионской программы были найдены в телефонах множества журналистов и активистов по всему миру.

Pegasus – это основной продукт израильской компании «киберразведки» NSO Group, вероятно, наиболее известной из новых компаний, производящих шпионское программное обеспечение. Технологии NSO Group позволяют клиентам (по утверждению компании, исключительно правительствам и никогда – частным лицам или компаниям) выбирать в качестве целей конкретные телефонные номера и заражать связанные с ними устройства трояном Pegasus.