ПОЛЬЗОВАТЕЛЯМ

Поддержка
Круглосуточная поддержка

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32 | Skype

Свяжитесь с нами Незакрытые запросы: 

Профиль

Профиль

Android.Spy.332.origin

Добавлен в вирусную базу Dr.Web: 2016-11-22

Описание добавлено:

SHA1

  • cc832d04b6b7fd5f3fcf7265fc2f091a426a3351 – пакет com.adups.fota
  • 2f01be010f04cd7f7744932b1d30cfbfe000ad09 – пакет com.adups.fota.sysoper

Android.Spy.332.origin представляет собой приложение, выполняющее обновление прошивок мобильных Android-устройств по воздуху (Over The Air или сокращенно OTA), благодаря чему имеет расширенные системные полномочия и функции. Оно способно незаметно скачивать, устанавливать и удалять ПО, выполнять shell-команды, передавать на удаленный сервер информацию об объеме свободного пространства на внутреннем и внешнем запоминающем устройстве смартфона или планшета, а также сведения об установленных приложениях. Изначально эта программа не была вредоносной, но одна из ее последних версий, которая была предустановлена на некоторых смартфонах (например, BLU R1 HD), получила троянский функционал. Он реализован в программных пакетах com.adups.fota (основной пакет) и com.adups.fota.sysoper (вспомогательный пакет), работающих совместно.

Android.Spy.332.origin каждые 72 часа передает на управляющий сервер следующие данные:

  • getSmsInPhone – информация об имеющихся СМС-сообщениях;
  • getCallLogList – информация о совершенных телефонных звонках;
  • getMessageData – содержимое СМС-сообщений;
  • getCellIDInfo (getBaseStationId/getCid) – сведения об используемой базовой станции мобильного оператора;
  • mapNetworkTypeToType ("UNKNOWN";"GPRS";"EDGE"; "UMTS";"CDMA"; "EVDO_0"; "EVDO_A";"1xRTT"; "HSDPA";"HSUPA";"HSPA";"IDEN"; "EVDO_B"; "LTE"; "EHRPD";"HSPAP";"WIFI") – информация о типе используемой мобильной сети;
  • getRomMemroy – информация об объеме встроенной памяти;
  • getRamUsedDetail – информация об объеме используемой оперативной памяти;
  • getSDCardMemorySize – информация об объеме памяти SD-карты;
  • isRootSystem – информация о наличии в системе root-доступа;
  • querySysAppInfo – информация об установленных системных приложениях;
  • queryDataAppInfo – информация об установленных пользовательских приложениях;
  • getRunningProcess – информация об активных процессах;
  • getDfBrowser – информация об используемом по умолчанию веб-браузере;
  • getDfLauncher – информация об используемой по умолчанию графической оболочке;
  • hasShortCut – информация обо всех имеющихся ярлыках приложений на главном экране.

Для сбора сведений об СМС-сообщениях и телефонных звонках основной модуль Android.Spy.332.origin обращается к вспомогательному компоненту, в котором задействует поставщик контента (Content Provider) под названием com.ad.dinfo и с его помощью получает доступ к content://com.ad.dinfo/msg. Задействуя этот поставщик, основной модуль троянца в действительности получает доступ к списку СМС-сообщений (content://sms). Аналогичным образом вредоносная программа получает доступ к истории звонков.

Вся собранная троянцем информация сохраняется в базы данных формата SQLite, которые затем преобразуются в JSON, сохраняются в один каталог и отправляются на удаленный сервер в zip-архиве. При этом передаваемые данные шифруются: сначала с использованием Base64, а затем DES-ключом.

Троянец отправляет данные в следующем виде:

  • DcMobileStatus.json – {cell, apn, romused, ramused, builtinsdused, scused, root, dctime} – общая техническая информация о мобильном устройстве;
  • DcApp.json – {systemapps, dataapps, appused, dflauncher, dfbrowser, desktopshortcut, dctime} – информация об установленных приложениях;
  • DcTellMessage.json – {tells, messages, dctime} – информация о телефонных звонках и список номеров, с которыми велась СМС-переписка;
  • DcAppOp.json – {packagename, op, optime} – информация об истории установки и удаления приложений;
  • dc_app_flow.json – {appname, pkg_name, flow, dctime} – объем данных, переданных и полученных приложениями с момента загрузки системы;
  • dc_msg_key.json – {tell, md5, msg_type, dc_type, keyword, msg_date, dc_date} – информация об СМС-сообщениях, включая их содержимое;
  • DcRootInfo.json – {bin, xbin} – информация обо всех файлах, расположенных в системных каталогах system/bin и system/xbin.

Рекомендации по лечению


Android

  1. Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
  2. Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
    • загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
    • после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
    • выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android

Демо бесплатно на 14 дней

Выдаётся при установке

Российский разработчик антивирусов Dr.Web с 1992 года
Dr.Web в Реестре Отечественного ПО
Dr.Web совместим с российскими ОС и оборудованием
Dr.Web пользуются в 200+ странах мира
Техническая поддержка 24х7х365 Рус | En

Dr.Web © «Доктор Веб»
2003 — 2021

«Доктор Веб» — российский производитель антивирусных средств защиты информации под маркой Dr.Web. Продукты Dr.Web разрабатываются с 1992 года.

125124, Россия, Москва, 3-я улица Ямского поля, вл.2, корп.12А