Android Троянский конь

1. 2.1 СМС сканирование
2. 2.2 Кража пароля
3. 2.3 Отслеживание GPS
4. 2.4 Распространение
5. 2.5 Другие возможные атаки на данные пользователя
6. 3.1 Молчание
7. 3.2 Легкое встраивание
8. 3.3 Быстрое Распространение
9. 3.4 Социальная инженерия
10. 4.1 Разрешения на чтение приложений
11. 4.2 Установка из надежных источников
12. Отказ от ответственности:
13. 6.1 Файлы включены
14. 6.2 Разрешения

Не секрет, что приложения Android (мобильная операционная система Google) имеют доступ к большому количеству личной информации при наличии определенных разрешений. Приложения могут читать и редактировать контакты, отправлять и получать текстовые сообщения и телефонные звонки, читать ваш номер телефона и информацию об учетной записи электронной почты, отслеживать ваше физическое местоположение и многое другое. В большинстве случаев эти возможности обеспечивают положительный сервис для пользователя. Тем не менее, эти разрешения могут быть легко использованы, чтобы молча собирать личную информацию и действовать очень злонамеренно. Наш Android-троянский конь является доказательством концепции, демонстрирующей, как некоторые из разрешений, обычно предоставляемых приложениям Android, могут быть использованы злонамеренно, даже без ведома пользователя. Вредоносный код в нашем приложении может быть встроен в любое приложение для Android и будет работать в скрытом режиме за другим безвредным приложением. В фоновом режиме приложение сканирует все смс-сообщения зараженного пользователя, отслеживает местоположение gps пользователя и крадет основной пароль электронной почты через спуфинговое диалоговое окно. В этой статье мы объясняем, как работает троянский конь, почему он опасен, и как пользователи могут защитить себя от подобных атак.

вирус андроида, троянский конь андроида, безопасность андроида, андроид, безопасность, троянский конь, вирус андроида, смс, шпион андроида, пароль андроида

Этот проект показывает, как легко любому приложению Android украсть личную информацию пользователей.

Вредоносный код, встроенный в приложение, позволяет ему выполнять несколько задач. Приложение может получить доступ ко всем телефонным контактам пользователя и текстовым сообщениям, которые затем могут быть отправлены в любой другой источник. Приложение также каждые 15 минут принимает показания GPS о местоположении пользователя и отображает фиктивное диалоговое окно, в котором пользователю предлагается ввести данные своей учетной записи электронной почты. Приложение также использует форму социальной инженерии для распространения на другие устройства.

Это хост-приложение не обязательно должно быть запущено для того, чтобы выполнялись вредоносные действия. Вредоносный код действует исключительно в фоновом режиме, невидимый для пользователя.

2.1 СМС сканирование

После установки приложение сканирует все текстовые сообщения пользователя. Текстовые сообщения разбиты на темы, где каждая тема содержит все сообщения отдельного человека с другим контактом. Затем приложение выполняет перекрестные ссылки на адресную книгу, чтобы получить дополнительную информацию о другой стороне. Приложение делает это для всех текстовых сообщений, которые в данный момент хранятся на телефоне пользователя. Следовательно, в случае пользователя, который не удалил свои текстовые сообщения с тех пор, как начал использовать телефон, вредоносная программа мгновенно получит доступ к его всей истории обмена сообщениями.

Кроме того, после этого первого прохождения всех текстовых сообщений пользователя для каждого дополнительного текста, который получает пользователь, приложение будет пересылать содержимое и подробности текстового сообщения на сервер, указанный вредоносным приложением. Приложение может легко захватить все текстовые сообщения пользователей, из всех текстовых сообщений, изначально сохраненных на телефоне, и каждого последующего текста без ведома пользователя или каких-либо помех обычному

Приложение публикует исходный контент в виде массива JSON. Это анализируется на сервере, и сервер может реально сделать что-нибудь с этими сообщениями после их получения. После этого приложение продолжает отправлять каждое текстовое сообщение на сервер при обнаружении новых сообщений. В этом доказательстве концепции текстовые сообщения отображаются способом, который имитирует пользовательский интерфейс на реальном телефоне, позволяя читать текстовые сообщения в хронологическом порядке разговора за контакт.

2.2 Кража пароля

Приложение также отображает уведомление по электронной почте, которое предупреждает пользователя об ошибке с учетной записью электронной почты и просит пользователя повторно ввести свой пароль электронной почты. Адрес электронной почты пользователя уже доступен для приложения через разрешение GET_ACCOUNTS, поэтому нет необходимости запрашивать эту информацию. Это диалоговое окно отображается по умолчанию через 3 минуты после установки приложения, чтобы предотвратить любую корреляцию между двумя событиями. В конечном счете, это время является произвольным и может быть отложено значительно дольше, чтобы полностью изолировать диалог от запущенного приложения. Диалоговое окно, отображаемое для пользователя, является почти точной копией его реального аналога, отображаемого для пользователей, когда они ввели неправильный пароль Gmail или их пароль изменился. Большинство пользователей не будут думать дважды при вводе своих паролей в этом фальшивом диалоге. Как только пароль пользователя захвачен один раз, это диалоговое окно больше не отображается. Ниже приведено сравнение между вредоносными и реальными диалоговыми окнами электронной почты:

Поддельный диалог Настоящий диалог

Приведенные выше изображения практически идентичны, и их было бы практически невозможно разглядеть на предмет легитимности, если бы они не сравнивались со знанием правильного диалогового экрана. Кроме того, этот тип фишинга представляет собой новый этап мошеннической деятельности на мобильных платформах. По мере развития технических средств безопасности, эта область будет менее подвержена атакам хакеров из-за ее больших технических и временных требований. Однако этот тип фишинг-схемы является очень вероятной атакой для всех видов кражи личных данных. Поскольку диалоги являются обычной функцией в банках, PayPal, социальных сетях и электронной почте, это является частью ожидаемого поведения пользователя на платформе.

Эти атаки также могут быть самыми трудными, чтобы поймать заранее. Они могут быть легко встроены в приложение и, возможно, активированы удаленно хакером.

Приложение отправляет электронную почту и пароль пользователя на сервер, а затем оно заносится в базу данных и сохраняется для дальнейшего использования. Ниже приведен пример отображения содержимого, полученного сервером, и ссылка для просмотра информации GPS-отслеживания, объясненной в следующем сеансе.

2.3 Отслеживание GPS

Последняя целевая атака в этом приложении - это геолокация, осуществляемая через GPS, когда она доступна, и триангуляция вышки сотовой связи, когда координаты GPS недоступны. Географическое положение является чрезвычайно заметным в приложениях на основе определения местоположения, таких как Foursquare, Groupon, Google Offers и многих других. Таким образом, это разрешение является чрезвычайно распространенным и часто пропускается в диалоговых окнах разрешений приложений.

Вредоносный код в нашем доказательстве концепции демонстрирует, что с этим разрешенным приложением приложение может получать координаты, основанные на местоположении, с любой частотой, которую оно желает. Мы наносим эти координаты на наш сервер и визуально отслеживаем местоположение пользователя в течение дня.

Координаты GPS отправляются на сервер в виде пары точек широты и долготы. Затем они могут быть введены в базу данных и легко организованы в виде карты, как показано ниже, с отображением отдельной точки местоположения, нескольких недавних местоположений или последовательности пользовательских местоположений.

2.4 Распространение

Все, что остается сделать пользователю, чтобы полностью заразиться вирусом, - это открыть приложение один раз, чтобы запустить таймеры и кражу конфиденциальной пользовательской информации. Для любого приложения с вредоносным кодом, встроенным в более полезную цель, все эти шаги будут удобны для пользователя, и в результате они получат другое полезное приложение на своем телефоне, в то время как троянец будет работать незаметно.

2.5 Другие возможные атаки на данные пользователя

Существует множество дополнительных разрешений, которые могут быть использованы для причинения дальнейшего вреда пользователю и потери конфиденциальной информации. Некоторые другие интересные хаки включают удаленное управление техническими функциями телефона (камера / видеокамера, звонок / вибрация), автоматический сброс пароля пользователя Facebook через его учетную запись Gmail и более умную социальную инженерию для воспроизведения контекста взаимодействия пользователя между контакты. Эксплойты, продемонстрированные в этой заявке, также могут быть расширены. Текстовые сообщения могут быть отправлены от имени пользователей без их ведома, и существует множество интересных эксплойтов, позволяющих получить информацию о том, как пользователь взаимодействует с друзьями в контексте суверенитета по телефону и по электронной почте. Кроме того, другие диалоги также могут быть созданы для получения конфиденциальной информации об учетной записи, такой как банковская информация. Даже если диалог подозревается как некорректный или поддельный, будет сложно отследить какое-либо конкретное приложение. Кроме того, при создании этого приложения мы ничего не делали, чтобы скрыть местонахождение сервера или нашу личность как злоумышленников. Однако при более реалистичной атаке хакеры, скорее всего, будут отправлять данные через https и использовать своего рода прокси-сервер, чтобы сбросить след того, куда отправлялись данные пользователя. Если бы этот вирус был развернут как есть, властям практически ничего бы не понадобилось для обнаружения злоумышленников через их URL-адрес сервера.

Есть несколько особенностей, которые делают эту атаку особенно опасной. Фишинг, хакерские и нерутированные средства управления мобильными устройствами - это относительно новая форма атаки, и пользователи должны быть особенно осведомлены о возможностях этих атак.

3.1 Молчание

Поскольку контент телефона может быть незаметно похищен, пользователи никогда не узнают, что их информация была взломана. Это особенно опасно, поскольку позволяет хакеру отслеживать ваше поведение и информацию с течением времени без вашего ведома. Там не будет никаких следов приложения в любой истории смс, журналах или уведомлениях. Кроме того, поскольку информация молча высвечивается из учетных записей пользователя, хакер может иметь более чем достаточно информации, чтобы легко обманным путем использовать вашу личность, не уведомляя вас каким-либо образом.

3.2 Легкое встраивание

Еще один опасный аспект этого конкретного кода заключается в том, что его очень легко встроить в любое неопасное приложение. Вредоносный код был написан по модульному принципу, который не зависит от какого-либо кода из хост-приложения. Это означает, что код может существовать без каких-либо ограничений внутри абсолютно любого приложения и иметь одинаковые вредоносные функции. Разработчик может легко вставить этот код в свое приложение для сбора личных данных, не затрагивая существующие функциональные возможности приложения и не давая пользователю никаких признаков его существования.

3.3 Быстрое Распространение

Это приложение опирается на пользовательские сети для распространения. Таким образом, элегантное социальное распространение и быстрое социальное распространение представляют собой парадокс, похожий на использование пространственной или временной сложности в алгоритмах компьютерного программирования. Независимо от фактической скорости распространения пользователя (в зависимости от социальной инженерии или метода рассылки спама), приложение будет распространяться экспоненциально, и его будет трудно обнаружить как вредоносное приложение. Поэтому воздействие этого акта может быть необратимым к тому времени, когда он пойман, и что личная информация многих пользователей безвозвратно скомпрометирована.

3.4 Социальная инженерия

Социальная инженерия, пожалуй, один из самых интересных инженерных контекстов, окружающих этого троянского коня. Это также область, в которой самые интересные и правдоподобные подвиги могут быть совершены троянским конем. Это приложение зависит от социальной сети пользователя, чтобы распространять себя. Он также отправляет себя только тем пользователям, с которыми пользователь находится в более тесном взаимодействии, в данном случае это определяется телефонными разговорами.

Сложные методы социальной инженерии могут использоваться для более разумного распространения приложения, для отправки сообщений от имени пользователя, для получения дополнительной личной информации, для проведения атак «посредник», а также для захвата социальной идентичности пользователя, программно или через личные действия. По мере того, как искусственный интеллект продолжает становиться умнее и умелее, вероятность и масштабы этих атак также возрастут.

4.1 Разрешения на чтение приложений

Основной способ защитить себя от приложений, которые имеют доступ к вашей личной информации в режиме без вывода сообщений, - это всегда читать разрешения приложений при установке новых приложений на телефон Android. Как указано в Раздел 1.2 (Разрешения) Не все разрешения, предоставленные этому вредоносному коду, должны быть предоставлены большинству приложений. При установке приложений вы должны всегда проверять все разрешения и думать, имеет ли смысл приложение для предоставления разрешений, которые оно желает. При предоставлении разрешений приложениям существует постоянный баланс для пользователей. В то время как предоставление приложений с определенными разрешениями может предложить пользователю лучшую функциональность и полезные услуги, эти разрешения также могут использоваться злонамеренно, как мы сделали с этим троянским конем. Пользователи вынуждены доверять разработчику с использованием этих разрешений и принимать уязвимости для дополнительной функциональности.

4.2 Установка из надежных источников

Вполне вероятно, что приложение, содержащее этот вредоносный код, будет обнаружено и удалено из Android Market довольно быстро. Иногда Google также удаленно удаляет вредоносные приложения со всех устройств, которые их загрузили. Устанавливая приложения только из надежных источников, таких как Android Market, вы можете значительно снизить свою уязвимость к таким атакам, как эта. Если бы вы получили текст от друга, подобного тому, который использовался для распространения этого троянского коня, лучшим способом было бы ответить своему другу, спрашивая, что это за приложение. Это быстро предупредит зараженного пользователя о том, что он заражен, и защитит вас от заражения.

Из нашего создания этого троянского коня для операционной системы Android становится ясно, что приложения, работающие на Android, имеют доступ к большому количеству личных данных и могут довольно легко использовать этот доступ злонамеренно. Наше приложение может собирать смс-сообщения, пароли электронной почты и местоположение GPS инфицированного пользователя в полном молчании, невидимом для пользователя. Мы были удивлены, увидев, как легко было распространять вредоносное приложение с помощью смс, используя принципы социальной инженерии. Из-за молчания пользователя «Троянского коня», возможности встраивания в любое неопасное приложение, быстрого распространения и доступа к информации, которая обеспечивает социальную инженерию, это чрезвычайно опасно. Пугающая часть в том, что мы едва поцарапали поверхность того, что можно сделать с помощью этого типа атаки. Единственный способ защитить себя от такого троянского коня для пользователей Android - всегда читать разрешения приложений при установке новых приложений и устанавливать приложения только из надежных источников. Если что-то кажется вам странным или подозрительным в отношении приложения, не устанавливайте его.

Отказ от ответственности:

Если этот код опубликован, он может нанести серьезный вред и очень быстро распространиться. Ни при каких обстоятельствах не создавайте и не распространяйте приложение с этим кодом. Этот документ и соответствующий исходный код предназначены только для образовательных целей и в целях безопасности. Мы не несем ответственности за пользователей, которые могут использовать этот код злонамеренно.

6.1 Файлы включены

• добавить в manifest.txt

  • Этот файл содержит фрагменты кода, которые необходимо добавить в манифест приложения Android хост-приложения. Это включает в себя разрешения и обслуживание, действия и объявления получателя.

• CallService.java

  • Это служба, которая работает в фоновом режиме и прослушивает телефонный звонок до конца. Как только он узнает, что вызов завершен, он установит будильник на 1 минуту, чтобы триггер SendSmsReceiver вызвал свой метод onReceive.

• GetGPSReceiever.java

  • Этот приемник срабатывает через 5 минут после первого открытия приложения и каждые 15 минут после этого молча. Когда он запущен, он найдет местоположение GPS пользователя, используя класс MyLocation с открытым исходным кодом [1]. Затем он отправит это местоположение на сервер и настроит тревогу на повторный запуск через 15 минут.

• идет в основной деятельности. текст

  • Этот файл содержит фрагменты кода, которые необходимо включить в действие, которое впервые запускается при открытии приложения пользователем. Код в этом файле впервые устанавливает несколько аварийных сигналов, чтобы они могли сами устанавливать их оттуда.

• pass_dialog.xml
• ScanSMSReceiver.java

  • Этот приемник запускается через 1 минуту после первого запуска приложения и каждые 15 минут после этого. При запуске он сканирует SMS-сообщения пользователя и отправляет все сообщения, которые он еще не отправил на сервер. Затем он устанавливает будильник снова через 15 минут.

• SendSMSReceiver.java

  • Этот приемник срабатывает через 1 минуту после окончания любого телефонного звонка. При запуске он отправит человеку, с которым последний раз общался пользователь, текст: «Йо, я забыл сказать вам, чтобы получить это приложение: [apk url]». Это используется для распространения приложения и объясняется в раздел 2.4 ,

• ShowPassDialog.java
• ShowPassDialogReceiver.java

  • Этот приемник срабатывает через 3 минуты после первого запуска приложения. Если пользователь вводит пароль, получатель никогда не вызывается снова. Все, что делает получатель, - это запускает действие ShowPassDialog.

• Sms.java
• SmsHelpers.java
• SmsReceiver.java

6.2 Разрешения

• ИНТЕРНЕТ
• GET_ACCOUNTS

  • Это разрешение необходимо для того, чтобы мы могли получить информацию об учетных записях пользователя. Мы используем это разрешение для получения основного адреса электронной почты пользователя, но также можем получать и другие имена учетных записей. Это также довольно распространенное разрешение, которое используется для встраивания информации учетной записи пользователя для персонализации приложения.

• READ_PHONE_STATE

  • Это разрешение необходимо для того, чтобы увидеть, находится ли пользователь в данный момент по телефону. Мы используем это разрешение для регистрации прослушивателя изменения состояния телефона, который может сообщить нам, когда пользователь завершил телефонный звонок. Обычно он используется приложениями для сохранения состояния приложения или приостановки игры при получении телефонного звонка.

• READ_CONTACTS

  • Как и ожидалось, это разрешение необходимо для того, чтобы читать контакты пользователя. Мы используем это разрешение для сопоставления адресов SMS-сообщений с контактом, который их отправил / получил. Только социальные или контактные приложения должны быть предоставлены это разрешение. Пользователи должны убедиться, что приложения, которые они устанавливают с этим разрешением, должны иметь доступ к своим контактам для обеспечения конфиденциальности.

• ACCESS_COARSE_LOCATION
• ACCESS_FINE_LOCATION
• ОТПРАВИТЬ СМС

  • Это разрешение требуется для отправки смс сообщений. Мы используем это, чтобы отправить SMS, которое поможет распространить троянский конь. У большинства приложений не должно быть этого разрешения, если только они не являются своего рода приложением sms или не являются социальным приложением, которое должно общаться через sms с контактами пользователя. Люди должны быть очень осторожны при установке приложений с этим разрешением, если они не знают, что приложение должно иметь возможность отправлять смс.

• READ_SMS

  • Это разрешение требуется для того, чтобы читать смс-сообщения, хранящиеся на телефоне. Мы используем это разрешение при сканировании SMS-сообщений пользователя и отправке их на сервер. Приложения не должны иметь этого разрешения, если они не служат какой-либо цели, связанной с смс. При установке приложений с этим разрешением пользователи должны быть осторожны, думая, нужно ли приложению доступ к этому разрешению.

• RECEIVE_SMS

  • Это разрешение позволяет приложениям получать и обрабатывать SMS-сообщения, когда они приходят. Это позволяет нам немедленно отправлять любые входящие сообщения на сервер по мере их поступления. Иногда приложения включают это разрешение для сохранения состояния при поступлении текста или для показа пользователю своего рода уведомления о тексте, который они получили. Пользователи должны быть осторожны при установке приложений, которые показывают это разрешение, но также должны понимать, что оно может использоваться безвредно.

Это приложение и его эксплойты, за исключением приведенного ниже открытого исходного кода, были полностью разработаны авторами этой статьи: Джереми Кляйн и Паркер Спилман

[1] Единственный ссылочный код, который изначально не был создан авторами этого документа, - это класс MyLocation с открытым исходным кодом (под GNU GPL v2) из ​​MessesInfo, который можно загрузить из:
http://www.java2s.com/Open-Source/Android/App/messesinfoandroid/cef/messesinfo/maps/MyLocation.java.htm или http://code.google.com/p/messesinfoandroid/

Дата последнего изменения: 6 декабря 2011 г.
Этот и другие документы о последних достижениях в области сетевой безопасности доступны в Интернете по адресу http://www.cse.wustl.edu/~jain/cse571-11/index.html
Вернуться на домашнюю страницу Радж Джайна

Похожие

Комментарии