Описание
Троянская программа, работающая на устройствах под управлением ОС Android. Предназначена для автоматической подписки пользователей на дорогостоящие мобильные услуги. Распространяется под видом безобидных программ и игр, которые работоспособны и внешне не проявляют подозрительной активности. Имеет модульную структуру, дополнительные модули загружаются из интернета. Список известных модификаций трояна, а также информация об индикаторах компрометации доступны по ссылке в конце описания.
Принцип действия
При запуске Android.Joker.531 переходит по ссылке вида hxxps://superkeyboard[.]oss-ap-southeast-1[.]aliyuncs[.]com/201028120701/" + versionName + ".txt для загрузки конфигурации с удаленного сервера, где versionName ― текущая версия троянского приложения.
Пример ответа сервера:
{"successLimitList":
[{"country":"TH","operatorNumber":"52001|52003|52023","successlimit":10,"operator":"TH_AIS","timeout":3,"flowTy
pe":"0"},
{"country":"TH","operatorNumber":"52099|52004|52000|52088|52025","successlimit":10,"operator":"TH_TRUEMOVE
","timeout":8,"flowType":"1"},
{"country":"TH","operatorNumber":"52018|52005|52047","successlimit":10,"operator":"TH_DTAC","timeout":3,"flowT
ype":"0"},
{"country":"SA","operatorNumber":"42003|42006","successlimit":10,"operator":"SA_MOBILY","timeout":5,"flowType"
:"2"},
{"country":"SA","operatorNumber":"42001","successlimit":10,"operator":"SA_STC","timeout":5,"flowType":"2"},
{"country":"SA","operatorNumber":"42004","successlimit":10,"operator":"SA_ZAIN","timeout":5,"flowType":"2"},
{"country":"SA","operatorNumber":"42005","successlimit":10,"operator":"SA_VIRGIN","timeout":5,"flowType":"2"},
{"country":"AE","operatorNumber":"42403","successlimit":10,"operator":"AE_DU","timeout":5,"flowType":"2"},
{"country":"AE","operatorNumber":"42402|43102|43002","successlimit":10,"operator":"AE_ETISALAT","timeout":5,"fl
owType":"2"},
{"country":"BH","operatorNumber":"42604","successlimit":10,"operator":"BH_STC(VIVA)","timeout":5,"flowType":"2"
},
{"country":"BH","operatorNumber":"42601|42605","successlimit":10,"operator":"BH_Batelco","timeout":5,"flowType":
"2"},
{"country":"BH","operatorNumber":"42602","successlimit":10,"operator":"BH_Zain","timeout":5,"flowType":"2"},
{"country":"PL","operatorNumber":"26007|26098|26006","successlimit":10,"operator":"PL_PLAY","timeout":5,"flowTy
pe":"2"},
{"country":"PL","operatorNumber":"26005|26003","successlimit":10,"operator":"PL_ORANGE","timeout":5,"flowType"
:"2"},
{"country":"PL","operatorNumber":"26001|26011","successlimit":10,"operator":"PL_PLUS","timeout":5,"flowType":"2"
},
{"country":"PL","operatorNumber":"26034|26002|26010","successlimit":10,"operator":"PL_T-Mobile","timeout":5,"flo
wType":"2"}],
"sdkUrl":"hxxp://novasdk[.]oss-cn-beijing[.]aliyuncs.com/newSysSdkplugin007[.]apk",
"keys":["dex","com.novasdk.sdkplugin.NovaTaskController","performTask","java/lang/ClassLoader","getSystemClassL
oader","()Ljava/lang/ClassLoader;","dalvik/system/DexClassLoader","(Ljava/lang/String;Ljava/lang/String;Ljava/lang/
String;Ljava/lang/ClassLoader;)V","loadClass","(Ljava/lang/String;)Ljava/lang/Class;","(Landroid/content/Context;)V"],
"logFlag":"0",
"fbId":"",
"guid":"",
"sdkVersion":"newSysSdkplugin007.apk"}
Используя ссылку из параметра sdkUrl в полученной конфигурации, троян скачивает зашифрованную полезную нагрузку (Android.Joker.242.origin), которую затем расшифровывает и исполняет.
Далее Android.Joker.531 запрашивает у пользователя доступ к работе с уведомлениями. Если разрешение получено, троян начинает отслеживать нотификации о входящих СМС. При появлении очередного уведомления, если оно поступило от СМС-менеждера по умолчанию, вредоносная программа отправляет широковещательное сообщение с намерением SEND_APP_NOTIFICATION_ACTION, добавляя android.text и android.title в extras. Тем самым Android.Joker.531 пытается перехватить поступающие коды подтверждения, отправляемые сервисами премиум-услуг, на которые жертву подписывает модуль Android.Joker.242.origin. В случае успеха этот модуль получает код и завершает подписку.
Кроме того, имея доступ к содержимому уведомлений о входящих СМС, Android.Joker.531 не только ищет коды подтверждений, но и получает информацию обо всех других СМС-сообщениях. В результате пользователи рискуют не только потерять деньги за подключение ненужных им премиум-сервисов, но и столкнуться с утечкой конфиденциальных данных.
