Data: Środa, 20 czerwca 2012, 12:29

Trojan ZeuS dla Androida powraca i udaje program antywirusowy

Kaspersky Lab informuje o wykryciu nowego szkodliwego programu dla systemu Android, ukrywającego się pod postacią fałszywej aplikacji bezpieczeństwa o nazwie „Android Security Suite Premium”. Trojan jest w rzeczywistości nową wersją niesławnego ZeuSa, który przechwytuje SMS-y docierające do zainfekowanego smartfonu i wysyła je do cyberprzestępców.

W pierwszej połowie czerwca 2012 r. analitycy z Kaspersky Lab natrafili na 3 pliki APK (format plików instalujących aplikacje w systemie Android) o rozmiarze około 207 KB. Wszystkie zostały wykryte przez silnik antywirusowy Kaspersky Lab jako szpiegujący koń trojański Trojan-Spy.AndroidOS.Zitmo.a. Warto w tym momencie przypomnieć, że ZitMo (ZeuS in the Mobile) to nazwa wersji trojana ZeuS przygotowana przez cyberprzestępców do infekowania smartfonów.

Podobnie jak znany już mobilny ZeuS, wszystkie nowo wykryte aplikacje mają za zadanie przechwytywać wiadomości SMS docierające do zainfekowanych telefonów. Dzięki takiej funkcji cyberprzestępcy mogą wykradać – między innymi – kody jednorazowe wysyłane przez banki w celu umożliwienia klientom potwierdzania operacji wykonywanych na kontach bakowych przez internet. Przechwycone wiadomości SMS są wysyłane na zdalny serwer, którego adres jest zaszyfrowany i przechowywany wewnątrz kodu trojana.

Podczas dalszej analizy eksperci natrafili na kolejne trzy pliki APK o dokładnie tej samej funkcjonalności. Zatem, w sumie istnieje przynajmniej 6 plików, które podszywają się pod aplikację „Android Security Suite Premium”, a w rzeczywistości mają za zadanie wyłącznie wykradać przychodzące wiadomości SMS.

Gdy użytkownik zainstaluje trojana, w menu smartfonu pojawia się ikona niebieskiej tarczy z podpisem „Android Security Suite Premium”:



Jeżeli aplikacja zostanie uruchomiona, na ekranie smartfonu pojawi się wygenerowany „kod aktywacyjny”:



Dalsze działanie aplikacji jest już niewidoczne dla użytkownika. Warto wspomnieć, że nowe szkodliwe aplikacje mogą otrzymywać zdalne polecenia usuwania się z zainfekowanego smartfonu, kradzieży informacji o systemie oraz włączania/wyłączania innych niebezpiecznych programów.