10 milionów szkodliwych aplikacji mobilnych

10 milionów szkodliwych aplikacji mobilnych Smartfony i tablety już od kilku lat sprawują funkcję miniaturowych komputerów, na których możemy wykonać praktycznie te same czynności, co na ich tradycyjnych odpowiednikach. Niestety nie jest to ich jedyna cecha wspólna. Złośliwe oprogramowanie potrafi atakować zarówno systemy mobilne, jak i tradycyjne, a szkody spowodowane jego działaniem mogą być bardziej dotkliwe dla tych pierwszych. Jeżeli komuś nadal się wydaje, że szkodniki przeznaczone na tablety i smartfony to rzadkość, to jest to ostatni dzwonek na zmianę poglądów. Na chwilę obecną istnieje ponad 10 milionów szkodliwych mobilnych aplikacji. Nasze statystyki pokazują wyraźnie, że zagrożenie jest jak najbardziej realne, a poszkodowane osoby tracą nie tylko dane, ale także pieniądze. Jak to się zaczęło? Jeszcze kilka lat temu nikt nie spodziewał się, że telefony mogą być pod tak intensywnym ostrzałem szkodliwego oprogramowania. Co prawda powstawały mobilne szkodniki, ale miały być one jedynie dowodem na to, że tego typu aplikacje da się napisać i mogą one egzystować w środowisku mobilnej platformy. Można powiedzieć, że był to swego rodzaju eksperyment lub jak kto woli proof of concept. Wpłynęło na to kilka czynników: telefony posiadały bardzo prymitywne systemy operacyjne, użytkownicy nie przechowywali w telefonach wielu informacji, telefony były wykorzystywane wyłącznie do dzwonienia i pisania SMS- ów, bankowość elektroniczna dopiero raczkowała, nawet najbardziej zaawansowane telefony dysponowały garstką aplikacji, platformy mobilne były zamknięte. Wszystkie te powody przyczyniły się do bardzo małej ilości szkodliwego oprogramowania przeznaczonego na telefony komórkowe. Wraz z pojawieniem się smartfonów, tabletów i mobilnych systemów operacyjnych z prawdziwego zdarzenia, a także z rozpoczęciem wykorzystywania tych urządzeń do bankowości elektronicznej, liczba zagrożeń zaczęła wzrastać. Niestety nie szło to w parze ze świadomością użytkowników, którzy wciąż żyli w przeświadczeniu, że zagrożenia na urządzenia mobilne są mrzonką. W końcu telefon to tylko telefon... Sytuację tę można porównać do tego, co miało miejsce około 15 lat temu. Wówczas wiele osób sądziło, że program antywirusowy jest zbędnym dodatkiem do komputera, który tylko niepotrzebnie go spowalnia. Utarła się

opinia, że wystarczy omijać podejrzane strony i nie pobierać plików z nieznanych źródeł, aby uniknąć infekcji. Ta sytuacja trwała do momentu kiedy pojawił się robak sieciowy Sasser. Zainfekował on miliony komputerów na całym świecie i spowodował olbrzymie szkody. Komputery użytkowników nie tylko stały się powolne, ale także bardzo często się resetowały. Dopiero wtedy uzmysłowiono sobie, że program antywirusowy i regularne aktualizowanie aplikacji to konieczność. Pozostaje mieć nadzieję, że w przypadku urządzeń mobilnych nie będzie trzeba czekać na szkody o podobnej skali, by użytkownicy zrozumieli, że zagrożenie jest realne. To, co kusi... Dzisiaj tablety i smartfony są bardzo popularne. Wielu użytkowników posiada kilka tego typu urządzeń. Są one w stanie zastąpić nam komputery, sprawdzamy na nich pocztę, logujemy się do różnych portali, nagrywamy filmy, robimy zdjęcia, przechowujemy notatki, piny i hasła. Smartfony wykorzystujemy także do bankowości elektronicznej, a przynajmniej w celu otrzymania od banku SMS-a z hasłem jednorazowym (mtan). Aby wzbogacić funkcjonalność sprzętu, instalujemy dziesiątki aplikacji, łączymy się z sieciami Wi-Fi, wykorzystujemy Bluetooth. Wszystkie te cechy tworzą zupełnie inny obraz urządzenia mobilnego, w odróżnieniu od opisywanego wcześniej tradycyjnego telefonu komórkowego. Obecnie cyberprzestępcy mają motywację do atakowania - prywatne dane i pieniądze. Co gorsza, mają też do tego narzędzia. Wystarczy, że przekonają użytkownika, by pobrał i zainstalował konia trojańskiego. Nie jest to wcale trudne, gdyż przestępcy sugerują zainstalowanie pożytecznej aplikacji, która dopiero po pewnym czasie rozpoczyna swoje destrukcyjne działanie i najczęściej jest ono kompletnie niewidoczne dla użytkownika. Popularność systemu W świecie tradycyjnych systemów operacyjnych ich popularność ma olbrzymi wpływ na kwestię bezpieczeństwa. Przez wiele lat to system Windows posiadał ponad 90% udziału w rynku i z tego względu praktycznie wszystkie szkodniki pisane były z myślą o tej platformie. Z biegiem czasu użytkownicy coraz chętniej wybierali także komputery firmy Apple, dzięki czemu na znaczeniu zaczął

zyskiwać system OS X. Obecnie udział tego systemu przekracza 10% (w niektórych statystykach wartość ta jest niższa), a cyberprzestępcy od dłuższego czasu tworzą na niego szkodliwe programy, takie jak Flash Fake, który zainfekował ponad 700 000 Maków na świecie. Jest to dowód na wcześniej postawioną tezę - popularność przekłada się na zainteresowanie przestępców daną platformą. Jak się jednak okazuje, nie ma to aż tak dużego odzwierciedlenia w przypadku systemów mobilnych. Systemy Android i ios posiadają razem ponad 90% udziału w rynku mobilnym. Teoretycznie sytuacja powinna wyglądać podobnie jak w przypadku systemów tradycyjnych, a więc im większa popularność, tym więcej szkodliwego oprogramowania powstaje na daną platformę. W przypadku urządzeń mobilnych jest jednak inaczej. Pomimo że ios jest dość popularny, zagrożenia na niego praktycznie nie istnieją. Rynek szkodliwego oprogramowania na urządzenia mobilne jest praktycznie zmonopolizowany przez zagrożenia tworzone z myślą o platformie Android. Bardziej szczegółowy podział jest widoczny na poniższym wykresie: Zagrożenia na systemy mobilne inne niż Android prawie nie istnieją. Jak można wyjaśnić ten fakt? Popularność nie jest jedynym czynnikiem determinującym pisanie szkodliwego oprogramowania na systemy mobilne. Olbrzymie

znaczenie ma sposób, w jaki użytkownicy mogą zainstalować dodatkowe aplikacje. W przypadku systemu ios programy można pobrać jedynie z oficjalnego sklepu firmy Apple - App Store. Wszystkie aplikacje są wcześniej weryfikowane, dzięki czemu użytkownik nie może, bez ingerowania w zabezpieczenia systemowe, instalować programów z nieautoryzowanych źródeł i narazić tym samym telefon na infekcję. W przypadku Androida użytkownik nie jest ograniczony jedynie do sklepu Google Play. Po zaznaczeniu odpowiedniej opcji w ustawieniach możliwe jest instalowanie aplikacji z nieznanych źródeł. Jak pokazuje poniższy obrazek, system ostrzega przed takimi działaniami. Poniższy wykres przedstawia wyniki ankiety przeprowadzonej w naszym serwisie SecureList.pl. Ponad połowa ankietowanych oświadczyła, że instalowała aplikacje z innych źródeł niż Google Play. Nie jest to oczywiście niczym nagannym. Zdarza się, że w internecie znajdziemy ciekawe programy, których najzwyczajniej brakuje w oficjalnym sklepie Goole a. Niestety, z punktu widzenia bezpieczeństwa, jest to dużo bardziej ryzykowna metoda dodawania oprogramowania do urządzenia mobilnego. Przestępcy często wykorzystują ten fakt i na różnych stronach internetowych umieszczają programy udające pożyteczne aplikacje, lecz będące w rzeczywistości trojanami. Warto jednak zaznaczyć, że przed zainstalowaniem jakiejkolwiek aplikacji, niezależnie czy pochodzi ona z Google Play czy z nieoficjalnego źródła, pojawia się komunikat, w którym użytkownik informowany jest, do jakich zasobów systemowych chce mieć dostęp dany program. Znając zastosowanie aplikacji np. do rysowania, możemy założyć, że nie powinna ona prosić o dostęp do usług SMS-owych. W przeciwnym wypadku powinno to wzbudzić nasze podejrzenia. Nie bez powodu za przykład podaję usługi SMS. Jak widać na poniższym wykresie, trojany SMS stanowią większość mobilnego szkodliwego oprogramowania. Zasada ich działania jest prosta. Wysyłają one bez wiedzy użytkownika SMS-y na numery premium, które wiążą się z podwyższoną opłatą. Często użytkownicy zdają sobie z tego sprawę dopiero po otrzymaniu rachunku

telefonicznego. W przypadku kart przedpłaconych dochodzi do szybkiego wyzerowania konta. Niestety nie jest to jedyna funkcja mobilnych szkodników. Aby lepiej oddać obraz sytuacji, w dalszej części artykułu posłużę się przykładem jednego z najbardziej zaawansowanych mobilnych szkodników jakim jest Obad. Szkodnik po polsku... Szkodliwe programy wysyłające SMS-y na numery premium nie są jedynie domeną dużych państw, takich jak Rosja czy USA. Także Polska załapała się na aplikację, która pobiera dodatkowe opłaty wyłącznie od polskich użytkowników. Vidro, bo tak się nazywa szkodnik, to aplikacja mająca w założeniu serwować treści pornograficzne dla osób posiadających telefon z systemem Android. Działanie Vidro było dość proste. W czasie przeglądania stron pornograficznych poprzez tablet lub smartfon, użytkownik mógł trafić na witrynę, która oferowała filmy przeznaczone na urządzenia mobilne. Jednak po kliknięciu odnośnika "watch now" (oglądaj), użytkownik był przekierowywany na inną stronę, gdzie należało pobrać aplikację. Użytkownik był dodatkowo kuszony możliwością nielimitowanego oglądania filmów o określonej tematyce. Ofiara jest nawet instruowana, w jaki sposób ma pobrać aplikację i zezwolić systemowi na instalację plików z nieznanych źródeł (tak jak wspominałem wcześniej, domyślnie ta opcja jest zablokowana, ale wystarczy kilka kliknięć, by zmienić ten fakt). Przy uruchomieniu programu, pojawia się komunikat, w którym użytkownik musi zaakceptować regulamin... którego nie ma! Aplikacja nie posiada żadnej umowy EULA, ani warunków korzystania z serwisu, ale nawet gdyby one istniały, to nie został podany żaden link, pod którym można regulamin przeczytać. Po kliknięciu "TAK", Vidro wysyła SMS-a, którego koszt wynosi 2 zł. Wiadomości są wysyłane co 24 godziny. ios - system doskonały?

System ios uchodzi za dużo bezpieczniejszą platformę w porównaniu z Androidem. Trudno się z tym nie zgodzić, zwłaszcza w odniesieniu do wspomnianej wcześniej statystyki prezentującej ilość szkodliwych programów pisanych dla konkretnych systemów mobilnych. Nie można jednak powiedzieć, że Apple nie zaliczyło nigdy wpadki pod tym kątem. W lipcu 2012 roku, rosyjskojęzyczni użytkownicy sklepu App Store mogli znaleźć i pobrać aplikację Find and Call. Z opisu programu wynikało, że oferuje on darmowe połączenia między posiadaczami aplikacji. Szybko jednak się okazało, że komentarze osób, które pobrały Find and Call, są bardzo nieprzychylne. Pojawiły się też informacje o wysyłaniu spamu przez ten program. Sprawą zainteresował się operator telefonii komórkowej w Rosji firma MegaFon, która poinformowała nas o całej sytuacji. Po przeanalizowaniu kodu, okazało się, że jest to trojan SMS. Po zainstalowaniu na telefonie aplikacja może wysyłać do wszystkich osób z książki adresowej SMS-y z sugestią pobrania programu. W ten sposób złośliwy program naraża nas nie tylko na dodatkowe koszty, ale także na rozsyłanie spamu do naszych znajomych. Na tym jednak nie kończy się jego działanie. Po uruchomieniu aplikacji użytkownik zostanie poproszony o wprowadzenie adresu e-mail lub numeru telefonu. Jeżeli użytkownik będzie chciał znaleźć przy pomocy Find and Call konkretną osobę z książki telefonicznej, jego dane łącznie z informacjami o kontaktach zapisanych w telefonie, zostaną wysłane na serwer twórców aplikacji, czyli trafią prosto do rąk cyberprzestępców. Pod latarnią najciemniej... Jedną z największych bolączek producentów systemów są błędy w kodzie, potocznie nazywane dziurami lub lukami. Zjawiska tego praktycznie nie da się wyeliminować i prędzej czy później nowa dziura zostanie gdzieś znaleziona. Wszystko sprowadza się do tego, co znalazca będzie chciał z taką wiedzą zrobić. Jeżeli o znalezieniu błędu jako pierwszych powiadomi twórców systemu/aplikacji, to da im tym samym czas na reakcję, dzięki czemu bezpieczeństwo użytkowników nie jest zagrożone (lub też zagrożenie jest minimalne). Inną opcją jest skorzystanie z luki lub sprzedaż takiej informacji na

czarnym rynku. W tym przypadku może dojść do licznych ataków i nadużyć ze strony atakującego, zanim producent pozna metodykę nowego zagrożenia. Wydawać by się mogło, że uaktualniony system operacyjny to gwarancja bezpieczeństwa. Niestety czasami zaniedbania dopuszcza się nie tyle producent danej platformy, co autorzy aplikacji mobilnych. Luki w dodatkowym oprogramowaniu mogą pomóc w uzyskaniu praw administratora lub odpowiadać za wycieki danych. Z tym ostatnim problemem mogli spotkać się użytkownicy programu Tumblr, popularnego serwisu mikroblogowego. W połowie 2013 roku Tumblr poinformował swoich użytkowników o konieczności aktualizacji aplikacji przeznaczonej na platformę ios. W oficjalnym oświadczeniu napisano, że w określonych sytuacjach może dojść do przejęcia hasła. Zalecono jak najszybszą aktualizację programu oraz zmianę hasła do profilu. "We have just released a very important security update for our iphone and ipad apps addressing an issue that allowed passwords to be compromised in certain circumstances. Please download the update now." Jaki ma to związek z bezpieczeństwem systemu ios? Mniej więcej w tym samym czasie przeprowadziliśmy ankietę wśród naszych fanów na Facebooku. Okazało się, że globalnie około 20% respondentów stosuje te same hasła do logowania się do wszystkich kont internetowych. Można w takim razie założyć, że część posiadaczy telefonów z systemem ios, używa tego samego hasła do logowania się zarówno w itunes jak i na innych stronach i portalach. Na powyższym przykładzie możemy zauważyć dwa problemy. Po pierwsze, luki w aplikacjach mobilnych przekładają się na bezpieczeństwo całego systemu. Nie chodzi jedynie o wyciek danych i haseł, ale także o eskalację uprawnień, które pozwalają atakującemu na przejęcie kontroli nad telefonem. Po drugie, bardzo ważna jest regularna zmiana haseł i stosowanie innego, unikatowego hasła do każdego konta. Na bezpieczeństwo systemu ios wpływają nie tylko aplikacje czy ostrożne zachowanie użytkownika. Mimo że system firmy Apple jest dość bezpieczny to

zdarzały się sytuacje, że wykrywano tam luki pozwalające na pewne nadużycia. Przykładem może być najnowsza, siódma wersja systemu ios. Niedługo po oficjalnej premierze doszukano się kilku niedociągnięć, przez które osoby trzecie mogły uzyskać dostęp do danych, takich jak kontakty czy zdjęcia. Wystarczyło w odpowiedniej kolejności wykonać kilka czynności na zablokowanym ekranie iphone a, aby uzyskać dostęp do aparatu i wszystkich zapisanych w telefonie zdjęć. Istniała także możliwość udostępnienia tych zdjęć poprzez konta właściciela telefonu. W efekcie każda osoba, której udało się złamać zabezpieczenie, mogła wejść w posiadanie kont e-mail do serwisów takich jak Twitter czy Flickr. Wybierając opcję udostępnienia poprzez imessage, włamywacz uzyska dodatkowo dostęp do pełnej książki adresowej urządzenia. Wcześniejsze wersje systemu ios także zawierały mniejsze lub większe błędy, które narażały użytkowników na pewne zagrożenia. Pokazuje to, że nie ma systemów idealnych i nigdy nikt nie da nam stuprocentowej gwarancji bezpieczeństwa. Mały szkodnik, wielkie możliwości W połowie 2013 roku trafiła do nas do analizy aplikacja dla Androida. Kod programu był zaciemniony, a pliki DEX zaszyfrowane, co utrudniało analizę. Nasze przypuszczenia były słuszne, Obad bo tak go nazwaliśmy - okazał się być najbardziej zaawansowanym mobilnym szkodnikiem, z jakim mieliśmy do tej pory styczność. Możliwości trojana są ogromne: wysyłanie SMS-ów na numery premium, pobieranie innych szkodliwych programów, wysyłanie złośliwych aplikacji na nowe urządzenia za pośrednictwem Bluetootha, zdalne wykonywanie poleceń w konsoli. Tak jak wspominaliśmy wcześniej, cyberprzestępcy, którzy stworzyli Obada, posłużyli się bardzo zaawansowanymi technikami maskowania. Samo zaciemnianie kodu nie jest niczym nowym, jednak w przypadku tego szkodnika zostało przeprowadzone nad wyraz profesjonalnie. Obad wykorzystuje błędy znalezione w platformie Android, co pozwala mu m.in. na ukrycie swojej obecności w systemie tak, że nie jest on widoczny na liście zainstalowanych aplikacji. Szkodnik uzyskuje także prawa administratora, co uniemożliwia usunięcie go w standardowy sposób. Jest on więc niemal niewidoczny dla

użytkownika jedynym, co może go zdradzić jest "zamrożenie" ekranu na około 10 sekund w momencie włączania przez Obada modułu Bluetooth w celu rozszerzenia infekcji na inne urządzenia. Spotkałem się z opinią, że jeżeli ktoś nie ma w smartofnie włączonej opcji przesyłania danych, to szkodliwe oprogramowanie nic nie zrobi, bo nie ma jak wysyłać i odbierać informacji od twórcy. Jest to bardzo błędne i krótkowzroczne stwierdzenie. Po pierwsze, jeżeli już dojdzie do infekcji, szkodnik może wysyłać SMS-y na numery premium nawet kilka razy dziennie. Po drugie opisany wyżej Obad, jest w stanie przyjmować polecenia i wykonywać je poprzez SMS-y, co dodatkowo podkreśla poziom zaawansowania tego trojana. Innym przykładem szkodliwego oprogramowania, które jest w stanie wyrządzić ogromne szkody, jest koń trojański ZeuS. W tym przypadku straty nie ograniczają się jedynie do urządzenia mobilnego/komputera. Twórcy szkodnika atakują konta bankowe i w ten sposób narażają użytkownika na utratę oszczędności. Procedura ataku ZeuSa jest następująca: 1. Infekcja tradycyjnego systemu operacyjnego. 2. Podmiana niektórych elementów strony banku. 3. Wyświetlenie fałszywych komunikatów o konieczności zainstalowania certyfikatu bezpieczeństwa na urządzeniu mobilnym. 4. Zainfekowanie urządzenia mobilnego. 5. Przechwytywanie haseł wysyłanych przez bank do klienta. 6. Autoryzacja przelewów na dowolny rachunek. Infekcja tradycyjnego systemu operacyjnego System może zostać zarażony na kilka sposobów. Najczęściej dochodzi do tego w momencie odwiedzenia szkodliwej witryny lub pobrania pliku z trojanem. Niektóre wersje ZeuSa były rozsyłane także jako załącznik wiadomości e-mail. Podmiana pewnych elementów strony banku Gdy użytkownik zainfekowanej maszyny próbuje połączyć się ze stroną banku, ZeuS wykrywa tę aktywność i modyfikuje pewne elementy witryny w przeglądarce. W ten sposób hasło podane przez użytkownika jest w rzeczywistości przekazywane cyberprzestępcy. Na poniższym przykładzie widać fałszywą stronę logowania podmienioną przez konia trojańskiego. Warto

zwrócić uwagę, że wymagane jest podanie pełnego hasła, a nie wybranych znaków, jak ma to miejsce na prawdziwym formularzu. Po podaniu hasła użytkownik widzi kolejne komunikaty, które zachęcają do podania modelu i marki telefonu w celu zainstalowania certyfikatu bezpieczeństwa. W rzeczywistości jest to szkodliwy program przeznaczony na smartfony. Infekcja urządzenia mobilnego Na podany przez użytkownika numer telefonu zostanie wysłany SMS zawierający odnośnik do pobrania certyfikatu. Cyberprzestępcy stworzyli ZeuSa na różne platformy. Istniała wersja na Androida, BlackBerry, Symbiana oraz Windowsa CE. Przechwytywanie haseł wysyłanych przez bank do klienta Od momentu instalacji fałszywego certyfikatu wszystkie SMS-y wysyłane z banku do klienta są przekazywane do przestępcy. Właściciel konta nie otrzymuje nawet powiadomień o przychodzących SMS-ach. Kody jednorazowe mtan będące dodatkową formą uwierzytelnienia są wysyłane bezpośrednio do autora szkodnika. Autoryzacja przelewów na dowolny rachunek Opisany sposób pozwala osobom trzecim z powodzeniem uzyskać dostęp do środków zgromadzonych na koncie. Login i pełne hasło zostało podane na początku ataku, a SMS z kodem jednorazowym zostanie przekazany przez szkodliwe oprogramowanie zainstalowane na telefonie właściciela konta, w trakcie realizacji przelewu przez atakującego. Mimo, że ZeuS został odkryty kilka lat temu, w dalszym ciągu powstają jego nowe wersje. Nie można zatem lekceważyć tego zagrożenia. Podsumowanie Szkodniki na urządzenia mobilne są zagrożeniem, z którym możemy spotkać się każdego dnia. Do infekcji wystarczy chwila nieuwagi. Z racji swojego mobilnego charakteru, smartfony i tablety wypełnione są danymi różnego typu, od zdjęć i filmów, przez kontakty i maile, na kodach i hasłach kończąc. Taka dawka

informacji jest kusząca dla wielu osób. Niekiedy zainfekowanie telefonu może pomóc w późniejszych, bardziej zaawansowanych atakach na firmy i instytucje. Nie sposób pominąć także wspomnianego przeze mnie wysyłania SMS-ów na numery o podwyższonej opłacie. Jak się zatem chronić? Aby zminimalizować ryzyko infekcji, należy pamiętać o kilku kwestiach: zainstaluj aplikację bezpieczeństwa na urządzeniu mobilnym, nie pobieraj oprogramowania z nieautoryzowanego źródła (jedynie z oficjalnych sklepów), przed instalacją programu sprawdź, do jakich zasobów chce mieć dostęp (np. dostęp do książki adresowej czy SMS-ów w przypadku gry powinien wzbudzić wątpliwości), uaktualniaj system operacyjny i aplikacje tak często jak to możliwe, włącz blokadę telefonu kodem, jeżeli jest to możliwe, nie trzymaj ważnych danych na urządzeniu mobilnym lub używaj aplikacji do szyfrowania newralgicznych informacji, sprawdź popularność danej aplikacji oraz opinie innych użytkowników, zachowaj ostrożność podczas instalowania aplikacji. Maciej Ziarek, ekspert ds. bezpieczeństwa IT, Kaspersky Lab Polska Źródło: http://www.egospodarka.pl/106024,10-milionow-szkodliwych-aplikacjimobilnych,3,12,1.html