У Google Play виявлено нове шкідливе ПЗ для Android під назвою NoVoice. Воно було приховано у понад 50 додатках, які сукупно завантажили щонайменше 2,3 мільйона разів. Заражені програми не викликали підозр — вони не запитували зайвих дозволів і виконували обіцяні функції.

Що таке NoVoice і як воно потрапляло на пристрої

Серед заражених додатків були утиліти для очищення пристрою, галереї зображень та ігри. Після запуску такого додатка шкідливе ПЗ намагалося отримати root-доступ до пристрою, використовуючи старі уразливості Android, які були виправлені ще у період між 2016 і 2021 роками.

Шкідливі компоненти були замасковані у пакеті com.facebook.utils — серед легітимних класів офіційного Facebook SDK. Зашифрований payload (файл enc.apk) ховався всередині PNG-зображення за допомогою стеганографії — техніки приховування даних у медіафайлах. Після вилучення він завантажувався у системну пам’ять, а всі проміжні файли видалялися для знищення слідів.

Дослідники компанії McAfee, які виявили операцію NoVoice, не змогли пов’язати її з конкретним зловмисником. Утім, вони зафіксували схожість шкідливого ПЗ з відомим Android-трояном Triada.

Як NoVoice уникало виявлення

Зловмисники реалізували 15 перевірок на наявність емуляторів, засобів відлагодження та VPN. Крім того, шкідливе ПЗ уникало зараження пристроїв у певних регіонах — зокрема в Пекіні та Шеньжені в Китаї. Якщо дозвіл на визначення місцезнаходження був недоступний, інфікування тривало далі.

Технічний механізм зараження

Після запуску шкідливий код виходив на командно-контрольний сервер (C2) і збирав інформацію про пристрій: характеристики апаратного забезпечення, версію ядра, версію Android та рівень патча безпеки, список встановлених програм і статус root. На основі цих даних визначалася стратегія атаки.

Далі шкідливе ПЗ кожні 60 секунд надсилало запити до C2 та завантажувало різноманітні компоненти для експлойтів, підібраних під конкретний пристрій. Дослідники McAfee зафіксували 22 такі exploit-модулі, зокрема use-after-free-помилки ядра та уразливості драйверів Mali GPU. Вони надавали зловмисникам root shell і дозволяли вимкнути SELinux — базовий механізм безпеки Android.

Стійкість: шкідливе ПЗ виживає навіть після скидання до заводських налаштувань

Після отримання root-доступу ключові системні бібліотеки — libandroid_runtime.so та libmedia_jni.so — замінювалися модифікованими версіями, які перехоплювали системні виклики та перенаправляли виконання до шкідливого коду.

Руткіт забезпечував кілька рівнів стійкості: встановлював скрипти відновлення, замінював системний обробник збоїв завантажувачем руткіта та зберігав резервні payload-файли у системному розділі пристрою. Оскільки цей розділ не очищається під час скидання до заводських налаштувань, шкідливе ПЗ зберігалося навіть після такого очищення.

Окремий процес-охоронець перевіряв цілісність руткіта кожні 60 секунд і автоматично відновлював відсутні компоненти. У разі невдачі він примусово перезавантажував пристрій, що призводило до повторного завантаження руткіта.

Крадіжка даних WhatsApp

На етапі після зараження шкідливий код впроваджувався у кожен запущений на пристрої додаток. Розгорталися два основні компоненти: один забезпечував приховане встановлення або видалення програм, другий діяв усередині будь-якого додатка з доступом до інтернету та виконував функцію основного інструмента крадіжки даних.

Головною ціллю став месенджер WhatsApp. При його запуску на зараженому пристрої шкідливе ПЗ витягувало чутливі дані, необхідні для клонування сесії: зашифровані бази даних, ключі протоколу Signal, а також ідентифікатори облікового запису — номер телефону та дані резервної копії Google Drive. Ці відомості передавалися на C2, що дозволяло зловмисникам відтворити WhatsApp-сесію жертви на власному пристрої.

Дослідники зауважили, що хоча їм вдалося відновити лише payload, орієнтований на WhatsApp, модульна архітектура NoVoice теоретично дозволяє застосовувати інші модулі для атаки на будь-який додаток.

Реакція Google та поточний стан загрози

Після того як McAfee — член App Defense Alliance — повідомила Google про знахідку, всі заражені додатки були видалені з Google Play. Утім, пристрої тих, хто встановив ці програми раніше, слід вважати скомпрометованими.

Оскільки NoVoice експлуатує уразливості, виправлені до травня 2021 року, оновлення до пристрою з пізнішим рівнем патча безпеки ефективно нейтралізує цю загрозу в її нинішній формі.

Рекомендації для користувачів Android

• Перевірити, чи не входить встановлений раніше додаток до переліку заражених.
• Оновити пристрій до актуального рівня патча безпеки або перейти на модель із підтримкою свіжих оновлень.
• Завантажувати додатки лише від відомих і перевірених розробників — навіть у межах Google Play.
• Якщо пристрій вважається скомпрометованим, змінити паролі та перевірити активні сесії WhatsApp у налаштуваннях облікового запису.

Ця стаття NoVoice: шкідливе ПЗ у Android-додатках заразило 2,3 мільйона пристроїв раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

Користувачів, які завантажили програму, заражену шкідливим програмним забезпеченням Joker, закликали негайно видалити її.

Понад півмільйона користувачів Android після завантаження з магазину Google Play встановили програму, яка використовується для доставки шкідливих програм Joker.

Дослідники кібербезпеки з Pradeo виявили зловмисне програмне забезпечення, яке Google тепер видалила зі свого офіційного магазину додатків для Android. До його видалення програму під назвою «Color Message» завантажили понад 500 000 користувачів Android.

Рекламований як додаток, що дозволяє користувачам персоналізувати свої SMS-повідомлення за замовчуванням, Color Message був фронтом для доставки Joker, однієї з найпоширеніших форм шкідливого програмного забезпечення Android.

Після встановлення зловмисне програмне забезпечення виконує три речі:

• імітує кліки, щоб отримувати дохід від шкідливої ​​реклами;
• підписує користувачів на небажані платні послуги преміум-класу для крадіжки грошей і шахрайства з виставленням рахунків;
• отримує доступ до списків контактів користувачів і надсилає інформацію зловмисникам.

Дослідники припускають, що є докази того, що вкрадена інформація надсилається на сервери, розміщені в Росії.

Негативні відгуки про програму в Play Store свідчать про те, що деякі користувачі помітили несанкціоновану поведінку зі скаргами на стягнення плати за послуги, до яких вони не запитували доступ.

У Google Play є протоколи, призначені для запобігання публікації шкідливих програм. Однак розробникам шкідливого додатка вдалося їх обійти.

«Використовуючи якомога менше коду та ретельно приховуючи його, Джокер створює непомітний слід, який може бути складно виявити», — сказала Роксана Суау з Pradeo.

Користувачів, які завантажили Color Message з Google Play Store, закликали негайно видалити програму.

Це далеко не перший випадок, коли Джокер був виявлений в Play Store – Pradeo каже, що його знайшли в сотнях додатків за останні два роки, але враховуючи, наскільки вони стійкі, вони, швидше за все, спробують поширити зловмисне програмне забезпечення.

Ця стаття Понад 500 000 користувачів Android були інфіковані після завантаження цієї програми з Google Play раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Google видалила з Play Store дев’ять Android-додатків, в цілому завантажених 5,8 млн разів, що, як виявилося, викрадали облікові дані користувачів для авторизації в Facebook.

Додатки вимагали у користувачів авторизуватися в Facebook. Це було умовою доступу до всіх функцій і вимкнення реклами. Реклама в додатках справді була присутня, і бажання її відключити спонукало користувачів до подальших дій.

Шкідливі програми маскувалися під фоторедактори, оптимізатори, фітнес-додатки, астрологічні прогнози. Вони перехоплювали введені користувачами облікові дані для авторизації в Facebook за допомогою JavaScript-коду, одержуваного з підконтрольного зловмисникам сервера. На останньому етапі атаки викрадені дані відправлялися на сервер зловмисників.

Список шкідливих додатків:

1. PIP Photo (> 5 млн. завантажень);
2. Processing Photo (> 500 тис. завантажень);
3. Rubbish Cleaner (> 100 тис. завантажень);
4. Horoscope Daily (> 100 тис. завантажень);
5. Inwell Fitness (> 100 тис. завантажень);
6. App Lock Keep (> 50 тис. завантажень);
7. Lockit Master (> 5 тис. завантажень);
8. Horoscope Pi (> 1 тис. завантажень);
9. App Lock Manager (10 завантажень).

Хоча ця конкретна кампанія націлена тільки на облікові записи Facebook, дослідники попередили, що її можна легко розширити для викрадення логінів і паролів будь-який інших платформи або сервісу.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

Як віддалено вийти з Gmail на загубленому пристрої? ІНСТРУКЦІЯ

Майнінг криптовалют: що таке Taproot та який захист у Bitcoin

До речі, Wi-Fi зі специфічною назвою мережі виводить з ладу iPhone. Як виявилося, якщо підключитися до бездротової мережі з символьною назвою, то модуль зависає, при цьому потім його можна включити. Проблема стосується всіх моделей iPhone, в тому числі найновіших. Збій можна перемогти тільки за допомогою повного скидання налаштувань.

Також у продуктах Microsoft в 2020 році виявлено 1268 уразливостей, що є рекордним числом. У період з 2016 по 2020 рік кількість уразливостей в рішеннях американської компанії збільшилася на 181%.

Microsoft оновлює OneDrive в Інтернеті та Android основними функціями редагування фотографій. Серед функцій редагування, які зараз підтримує OneDrive, Ви можете обрізати, обертати та вносити коригування світла та кольору у фотографії. Microsoft також пропонує кілька інших функцій для версії програми OneDrive для Android. Тепер Ви можете передавати фотографії на пристрій із підтримкою Chromecast і дозволяти іншим спостерігати, як Ви гортаєте їх у прямому ефірі.

Окрім цього, в Україні заблокували мережу сall-центрів РФ, які збирали особисті дані українців. Організатори залучали до роботи до 150 операторів, які працювали у дві зміни.

Ця стаття Додатки з Google Play Store викрадали дані для авторизації в Facebook раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Дослідники розповіли про методи, які використовуються зловмисниками для успішного впровадження шкідливих додатків в інтернет-каталог.

В компанії Bitdefender проаналізували 25 додатків в Google Play Store, завантажених в цілому майже 700 тисяч разів.

Фахівці перерахували ключові методи, використовувані зловмисниками для успішного проникнення шкідливих додатків у магазин:

• Шифрування і динамічне завантаження основної логіки (зловмисники не додають основну логіку програми в стандартний код і покладаються натомість на власну виконувану динамічну бібліотеку, яка завантажується першою, дозволяючи потім розшифрувати і завантажити шкідливий код);
• Метод періодичних перевірок (техніка передбачає систематичну перевірку тимчасових міток і, якщо зазначений час перевищує 18 годин, рекламне ПЗ починає показувати користувачам рекламу);
• Використання службових бібліотек із відкритим вихідним кодом, наприклад, Evernote, Twitter, Dropbox (бібліотеки можуть використовуватися для запуску завдань у фоновому режимі, а також для показу рекламних оголошень і управління процесами, включаючи “ShowAds activity” або функцію “ShowAdsHideIcon”);
• Тривалі проміжки між показами реклами. Оскільки рекламні об’яви не показуються систематично (проміжок між ними становить до 350 хвилин), програмам вдається обійти механізми захисту Google Play;
• Завантаження в магазин “чистих” додатків (в деяких випадках розробники можуть завантажувати безпечний додаток і згодом впроваджувати в код додаткові шкідливі функції за допомогою оновлення або шляхом зміни конфігурації і поведінки через підключений сервер).

“Незалежно від того, чи були додатки завантажені з офіційних або сторонніх торговельних майданчиків, завжди рекомендується переглядати коментарі користувачів і оцінки програм, оскільки відгуки користувачів можуть бути показником обману або шкідливої поведінки”, – радять дослідники.

До речі, Samsung випустила дві бета-версії свого призначеного для користувача інтерфейсу One UI для пристроїв Galaxy S10. Однак користувачам не слід поспішати з встановленням нової оболонки, оскільки вона містить помилку, що робить смартфон непридатним до використання.

Також Apple вирішила змусити користувачів застарілих версій iOS встановити останні оновлення, навіть якщо вони самі цього не хочуть.

Зверніть увагу,новий стрімінговий майданчик Apple TV+ запуститься відразу в півтора сотнях країн, ставши одним з найбільш значущих неапаратних релізів Apple за останні кілька років. В компанії ретельно готувалися до цієї події, знявши кілька десятків серіалів і фільмів. Компанія називає їх новими хітами, а деякі з них навіть порівнює за розмахом із “Грою престолів”. Але критики вважають інакше.

Австралійська комісія з питань конкуренції та захисту споживачів подала в суд на Google, звинувативши американську компанію в тому, що вона “вводить в оману” користувачів щодо використання їх персональних даних.

Ця стаття Як кіберзлочинці обходять захист Google Play? раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

За останні кілька місяців тисячі користувачів Android-пристроїв стали жертвами нового шкідливого ПЗ, що отримало назву Xhelper. Програма ховається на заражених пристроях і здатна відновити себе навіть після видалення або скидання налаштувань до заводських на пристрої.

За словами фахівців з компанії Symantec, за останні півроку шкідливе ПЗ вже встигло заразити понад 45 тисяч Android-пристроїв і продовжує поширюватися, інфікуючи в середньому 2,4 тисяч пристроїв на місяць.

Xhelper є компонентом програми, але не відображає звичайний користувацький інтерфейс. Воно не відображається на панелі запуску додатків. Шкідник запускається за допомогою зовнішніх подій, ініційованих користувачем, наприклад, ввімкнені/вимкнені джерела живлення, перезавантаження телефону або встановлення додатків. Після запуску шкідлива програма реєструється як основна служба, тим самим знижуючи ризик вимкнення при нестачі пам’яті. Заразивши пристрій жертви, Xhelper розшифровує в пам’ять шкідливо корисне навантаження. Цей модуль підключається до C&C-сервера зловмисника і чекає команди. Після успішного підключення до C&C-сервера на скомпрометований пристрій можуть бути завантажені додаткові шкідливі модулі, наприклад, дропер, клікери і руткіти.

Вперше дослідники виявили Xhelper в березні 2019 року. На той момент функціонал шкідливого ПЗ був відносно простим, і його основною функцією було відвідування рекламних сторінок з метою монетизації. Однак за минулий час кіберзлочинці розширили функціонал Xhelper, додавши можливості відходу від виявлення. Судячи з усього, шкідливе ПЗ все ще перебуває в стадії розробки, вважають фахівці.

Дослідникам не вдалося визначити канали поширення шкідника. Оскільки в Google Play Store його виявити не вдалося, фахівці вважають, що Xhelper може завантажуватися з невідомих джерел або за допомогою шкідливого системного застосування, встановленого на деяких смартфонах. Судячи з кількості заражень, зловмисників цікавлять певні марки смартфонів (назви торгових марок не вказуються). Найбільше число інфікованих пристроїв спостерігалося в Індії, США і Росії.

До речі, нове шкідливе ПЗ під назвою Racoon (Єнот), створене для викрадення інформації, швидко завойовує популярність серед кіберзлочинців. За словами команди дослідників з Cybereason Nocturnus, всього за кілька місяців Єнот заразив сотні тисяч пристроїв по всьому світу, викрадаючи дані кредитних карт жертв, облікові дані електронної пошти тощо.

Також Apple вирішила змусити користувачів застарілих версій iOS встановити останні оновлення, навіть якщо вони самі цього не хочуть.

Зверніть увагу, підтримка Windows 10 (версія 1803) закінчиться менше ніж через місяць, і, згідно з деякими повідомленнями, Microsoft знову звернулася до не зовсім чесної тактики, для того щоб змусити користувачів оновитися до найсвіжішої версії ОС.

Коли Ви підключаєтеся до мережі Wi-Fi, рівень сигналу буде визначати якість з’єднання і навіть швидкість Вашого інтернет-з’єднання. Якщо рівень сигналу Wi-Fi слабкий, то з’єднання може перериватися і залишатися недоступним, так само і швидкість Інтернету може бути нижчою від заявленої провайдером. Як визначити у Windows 10 рівень сигналу Wi-Fi в процентному співвідношенні, дізнайтесь зі статті.

Ця стаття Шкідливе ПЗ, яке неможливо видалити, уразило 45 тисяч Android-пристроїв раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин