News Android Downloader atakuje ze zdwojoną siłą

Nowe, złośliwe aplikacje są dystrybuowane za pomocą trojana typu dropper (pobierającego i wypakowującego główne elementy złośliwego oprogramowania), znanego jako Android.MulDrop.18.origin.

W czasie uruchomienia, trojan ten za pomocą specjalnej biblioteki odszyfrowuje dwa zawarte w jego zasobach pakiety APK (od ang. plik Android Package), a następnie wykorzystując metodę DexClassLoader (tzn. bez udziału użytkownika) ładuje do pamięci zawarte w nich pliki wykonywalne Dex – wykrywane przez antywirusa Dr.Web jako Android.DownLoader.57.origin i Android.DownLoader.60.origin. Jeśli aktywacja się powiedzie, programy te nawiązują połączenie ze zdalnym serwerem, gdzie otrzymują listę aplikacji, które mają zostać pobrane na dane urządzenie mobilne.
Równocześnie, w określonych odstępach czasu, oprócz aplikacji mogą być również pobierane inne pliki. Analitycy Doctor Web zidentyfikowali wśród nich zarówno nowe, jak i znane już szkodliwe oprogramowanie należące do kilku rodzin, takich jak trojany Android.SmsSend i Android.Backdoor.

Tym samym cyberprzestępcy mogą przeprowadzić atak na właścicieli urządzeń z systemem Android według różnych scenariuszy, używając w tym celu wymaganego rodzaju złośliwych aplikacji, począwszy od zwykłych trojanów SMS, do zaawansowanych trojanów typu spyware. Ponadto inny, potencjalny sposób wykorzystania omawianych wersji trojanów typu downloader polega na rozsyłaniu legalnych aplikacji i gier, z instalacji których oszuści czerpią korzyści finansowe.

Warto zauważyć, że podczas próby instalacji programów pobranych przez trojany na urządzenia mobilne, wymagane jest potwierdzenie tego działania przez użytkowników. Należy zatem zwracać szczególną uwagę przy zatwierdzaniu instalacji oprogramowania, którego świadomie nie pobraliśmy na swoje urządzenie.

Druga wersja droppera Android.MulDrop.18.origin, zawiera, w przeciwieństwie do pierwszej, niezaszyfrowane wersje trojanów typu downloader, dodanych do bazy wirusów jako Android.DownLoader.59.origin i Android.DownLoader.61.origin. Mechanizm ich połączenia ze zdalnym serwerem różni się nieco od tego, jaki jest realizowany w przypadku Android.DownLoader.57.origin i Android.DownLoader.60.origin, ale ostateczny cel ich działania pozostaje bez zmian i polega na pobraniu i zainstalowaniu aplikacji na urządzeniu mobilnym z systemem Android.