ПОЛЬЗОВАТЕЛЯМ

Поддержка
Круглосуточная поддержка

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32 | Skype

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Android.Loki.3

Добавлен в вирусную базу Dr.Web: 2016-02-02

Описание добавлено:

SHA1:

  • 4af24c9f6815c8b0f5d0b44cc9040cdd7d828d96

Троянец для мобильной платформы Google Android, исследованный образец представляет собой файл:

/data/system/.loki/loki32

Основное предназначение троянца — внедрение библиотеки liblokih.so в процесс system_server и выполнение команд от имени суперпользователя (root).

Процесс loki32 запускается вместе с операционной системой и ожидает, пока она полностью загрузится. Затем троянец начинает последовательный просмотр папок в каталоге /proc, который содержит информацию о процессах, состоянии и конфигурации ядра и системы. Среди содержимого папки вредоносная программа ищет процесс, у которого в /proc/<pid>/cmdline будет установлено значение "system_server".

Затем троянец получает относительные адреса функций, необходимых для осуществления инжекта:

libcAddr = getAddressFromMaps(v1, "/system/lib/libc.so");
linkerAddr = getAddressFromMaps(v0, "/system/bin/linker");
mallocAddr = (int)&malloc - libcAddr;
dlopenAddr = (int)&dlopen - linkerAddr;
dlcloseAddr = (int)&dlclose - linkerAddr;
dlsymAddr = (int)&dlsym - linkerAddr;
dlerrorAddr = (int)&dlerror – linkerAddr.

Функция getAddressFromMaps выполняет синтаксический разбор содержимого файла /proc/self/maps, содержащего карту памяти процесса, находит там первую строку, соответствующую нужной библиотеке, например:

40020000-40065000 r-xp 00000000 1f:00 363        /system/lib/libc.so

и извлекает оттуда первое число. Далее происходит сам инжект:

inject(ss_pid, "/data/system/.loki/liblokih.so", "load_loki", "");

Эта функция получает на вход значение PID процесса, в который будет выполнен инжект, путь к библиотеке, которую нужно загрузить, и имя функции в этой библиотеке, которую нужно вызвать. Сам процесс инжекта осуществляется с помощью системного вызова ptrace, возможности которого обычно используют отладчики. С помощью функции PTRACE_ATTACH процесс останавливается, троянец подключается к нему и получает доступ к чтению и изменению состояния памяти и регистров. Затем при помощи функции PTRACE_GETREGS в остановленном процессе троянец получает значения регистров и с помощью PTRACE_SETREGS изменяет их таким образом, чтобы выполнилась нужная функция. Затем процесс запускается снова с использованием PTRACE_CONT.

Кроме того, Android.Loki.3 может выполнять от имени суперпользователя (root) команды, поступающие от Android.Loki.1.origin и Android.Loki.2.origin. Фактически, Android.Loki.3 играет роль сервера для запуска шелл-скриптов: киберпреступники передают троянцу путь к сценарию, который следует выполнить, через локальный сокет, и Android.Loki.3 запускает этот скрипт.

Новость о троянце

Рекомендации по лечению


Android

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Российский разработчик антивирусов Dr.Web с 1992 года
Dr.Web в Реестре Отечественного ПО
Dr.Web совместим с российскими ОС и оборудованием
Dr.Web пользуются в 200+ странах мира
Техническая поддержка 24х7х365 Рус | En

Dr.Web © «Доктор Веб»
2003 — 2021

«Доктор Веб» — российский производитель антивирусных средств защиты информации под маркой Dr.Web. Продукты Dr.Web разрабатываются с 1992 года.

125124, Россия, Москва, 3-я улица Ямского поля, вл.2, корп.12А