Android-бэкдор под видом OpenGL Plugin

Как сообщила компания «Доктор Веб», в Google Play выявлен новый троянец-бэкдор, который выполняет команды злоумышленников, позволяет им дистанционно управлять инфицированными Android-устройствами и шпионить за пользователями. Троянец получил имя Android.Backdoor.736.origin. Он распространяется под видом приложения OpenGL Plugin для проверки версии графического интерфейса OpenGL ES и загрузки его обновлений.

При запуске программа запрашивает доступ к нескольким важным системным разрешениям, которые позволят ей собирать конфиденциальную информацию и работать с файловой системой. Кроме того, Android.Backdoor.736.origin пытается получить допуск к показу экранных форм поверх интерфейса других программ.

В окне вредоносного приложения имеется кнопка для «проверки» обновлений графического программного интерфейса OpenGL ES. После ее нажатия троянец имитирует процесс поиска новых версий OpenGL ES, однако на самом деле никаких проверок он не выполняет. Когда жертва закрывает окно приложения, Android.Backdoor.736.origin убирает свой значок из списка программ меню главного экрана и создает ярлык для своего запуска – чтобы в дальнейшем пользователю было сложнее удалить троянца, поскольку удаление ярлыка не затронет саму вредоносную программу.

Android.Backdoor.736.origin постоянно активен в фоновом режиме и может запускаться не только через значок или ярлык, но и автоматически при старте системы либо по команде злоумышленников через Firebase Cloud Messaging. Основной вредоносный функционал троянца расположен во вспомогательном файле, который зашифрован и хранится в каталоге с ресурсами программы. Он расшифровывается и загружается в память при каждом старте Android.Backdoor.736.origin.

Бэкдор поддерживает связь с несколькими управляющими серверами, откуда получает команды и куда отправляет собранные данные. Кроме того, киберпреступники могут управлять троянцем через сервис Firebase Cloud Messaging. Android.Backdoor.736.origin способен выполнять следующие действия:

• передавать на сервер информацию о контактах из телефонной книги, об СМС-сообщениях (в исследованной версии троянца для этого нет необходимых разрешений), о телефонных вызовах и о местоположении устройства;
• загружать и запускать apk- или dex-файл с использованием класса DexClassLoader;
• передавать на сервер сведения об установленных программах, о файлах в заданном каталоге или файлах на карте памяти;
• загружать файл с сервера, отправлять заданный файл на сервер, скачивать и запускать исполняемый файл;
• запускать активность, заданную в команде, загружать и устанавливать Android-приложение;
• выполнять shell-команду, показывать уведомление, заданное в команде, запрашивать заданное в команде разрешение;
• передавать на сервер список разрешений, предоставленных троянцу;
• не позволять устройству переходить в спящий режим в течение заданного времени.

Все передаваемые на сервер данные троянец шифрует алгоритмом AES. Каждый запрос защищается уникальным ключом, который генерируется с учетом текущего времени. Этим же ключом шифруется ответ сервера.

Android.Backdoor.736.origin способен устанавливать приложения сразу несколькими способами:

• автоматически, если в системе есть root-доступ (с использованием shell-команды);
• при помощи системного менеджера пакетов (только для системного ПО);
• показав стандартный системный диалог установки программ, где пользователь должен согласиться на инсталляцию.

Таким образом, этот бэкдор представляет серьезную опасность. Он не только занимается кибершпионажем, но может использоваться и для фишинга, так как способен показывать окна и уведомления с любым содержимым. Кроме того, он может загружать и устанавливать любые другие вредоносные приложения, а также выполнять произвольный код. Например, по команде злоумышленников Android.Backdoor.736.origin может скачать и запустить эксплойт для получения root-полномочий, поле чего ему уже не потребуется участие пользователя для инсталляции других программ.

Компания «Доктор Веб» уведомила корпорацию Google о троянце, и на момент публикации материала он был удален из Google Play.