20 settembre 2013

Doctor Web — produttore russo di software antivirus — ha scoperto un'ampia rete dannosa composta da dispositivi mobili Android. Oggi sappiamo di oltre duecentomila dispositivi, infettati dai malware Android.SmsSend, che sono intrappolati in questa botnet. Le fonti principali di infezione in questo caso sono risorse di Internet malevole o violate. La maggior parte dei dispositivi compromessi appartiene agli utenti russi, è grande anche la quantità di bot in Ucraina, Kazakistan e Bielorussia. Secondo le stime preliminari, il danno causato agli utenti potrebbe ammontare ad alcune centinaia di migliaia di dollari.

Per infettare gli smartphone, i malintenzionati hanno utilizzato diverse applicazioni malevole, tra cui il nuovo trojan Android.SmsSend.754.origin e i malware: Android.SmsSend.412.origin (conosciuto da marzo 2013, si propaga sotto forma di un browser mobile), Android.SmsSend.468.origin (conosciuto da aprile 2013) e Android.SmsSend.585.origin che si maschera da un client mobile del social network "OK", conosciuto dal software Dr.Web da giugno 2013. La versione più vecchia dei malware — Android.SmsSend.233.origin — notata nel corso dell'analisi della botnet è stata aggiunta ai database virali Dr.Web ancora a novembre 2012. Nella maggior parte dei casi, le fonti di infezione sono stati siti dei malintenzionati e siti violati che propagano programmi malevoli.

Il trojan Android.SmsSend.754.origin è un applicazione con il nome Flow_Player.apk. Una volta penetrato nel sistema operativo, il trojan chiede di avere i privilegi di amministratore del dispositivo per controllare il blocco del display. In seguito l'applicazione malevola nasconde la sua icona dalla schermata principale del dispositivo.

Dopo aver completato la procedura di installazione, il trojan manda ai malintenzionati le informazioni sul dispositivo infettato, quali l'identificatore unico IMEI, il credito del conto di telefonia, il codice paese, il numero di telefono, il codice dell'operatore di telefonia, il modello del dispositivo e la versione del sistema operativo. Quindi l'Android.SmsSend.754.origin attende la ricezione di un comando dei malintenzionati. Secondo il comando, il trojan può mandare un SMS con un testo prestabilito a un numero assegnato, spedire SMS in massa a una lista di contatti, aprire nel browser un URL assegnato o visualizzare sullo schermo del dispositivo un messaggio con un determinato titolo e testo.

I dati raccolti da Doctor Web mostrano che attualmente la botnet comprende oltre duecentomila dispositivi Android infetti di cui il numero più grande appartiene agli utenti russi (128.458), al secondo posto si trova Ucraina con 39.020 bot seguita da Kazakistan: 21.555 dispositivi compromessi. La distribuzione per paese è mostrata sulla seguente immagine.

Il diagramma mostra la distribuzione per operatore di telefonia mobile.

Il numero di smartphone Android diventati vittime in questo incidente è uno dei numeri più grandi che sono stati registrati nel semestre corrente. Secondo le stime preliminari di Doctor Web, il danno causato agli utenti potrebbe ammontare a diverse centinaia di migliaia di dollari.

Al momento tutte le minacce menzionate sopra possono essere rilevate ed eliminate dal software Dr.Web. Agli utenti dei dispositivi Android consigliamo di evitare di scaricare e di installare applicazioni da siti inattendibili. Doctor Web segue ulteriori sviluppi della situazione.