Doctor Web: panoramica sull'attività di virus per dispositivi mobili in III trimestre 2024

Secondo le statistiche di rilevamento di Dr.Web Security Space per dispositivi mobili, nel III trimestre 2024 sui dispositivi protetti venivano rilevate il più frequentemente le applicazioni malevole Android.FakeApp, utilizzate dai malintenzionati in vari schemi fraudolenti. Alla seconda posizione si sono collocati i trojan pubblicitari Android.HiddenAds. I terzi rilevamenti più frequenti sono stati i campioni della famiglia Android.Siggen — sono programmi che possiedono funzionalità malevole varie e sono difficilmente classificabili in una famiglia specifica.

Ad agosto gli specialisti Doctor Web hanno scoperto un backdoor, Android.Vo1d, il quale ha infettato quasi 1.300.000 box TV con SO Android appartenenti a utenti da 197 paesi del mondo. Questo programma malevolo colloca i propri componenti nell'area di sistema dei dispositivi e su comando dei malintenzionati è in grado di scaricare e installare impercettibilmente varie applicazioni.

Allo stesso tempo, i nostri analisti dei virus di nuovo hanno identificato minacce sullo store di app Google Play. Tra queste erano molteplici nuovi programmi falsificazione, nonché diversi trojan pubblicitari.

Secondo i dati dei prodotti antivirus Dr.Web per Android

Android.FakeApp.1600

Programma trojan che carica il sito web specificato nelle sue impostazioni. Le varianti conosciute di questa applicazione malevola caricano un sito di casinò online.

Android.HiddenAds.3994

Programma trojan per la visualizzazione di pubblicità invadenti. I campioni della famiglia Android.HiddenAds spesso vengono distribuiti sotto le apparenze di applicazioni innocue e in alcuni casi vengono installati nella directory di sistema da altri software malevoli. Entrando su dispositivi Android, tali trojan pubblicitari di solito nascondono all'utente la propria presenza sul sistema: per esempio, nascondono l'icona dell'applicazione dal menu della schermata principale.

Android.MobiDash.7815

Android.MobiDash.7813

Programmi trojan che visualizzano annunci invadenti. Sono moduli software che gli sviluppatori software incorporano nelle applicazioni.

Android.Click.1751

Trojan che viene incorporato in mods dell'applicazione di messaggistica istantanea WhatsApp e si maschera da classi delle librerie di Google. Nel corso dell'utilizzo dell'applicazione vettore, Android.Click.1751 effettua richieste a uno dei server di comando e controllo. In risposta, il trojan riceve due link, uno dei quali è destinato agli utenti di lingua russa, e il secondo a tutti gli altri utenti. Quindi visualizza una finestra di dialogo con il contenuto ricevuto dal server, e dopo che l'utente fa clic sul pulsante di conferma, carica il link corrispondente nel browser.

Program.FakeMoney.11

Rilevamento di applicazioni che presumibilmente consentirebbero di guadagnare con l'effettuazione di determinate azioni o compiti. Questi programmi simulano l'accredito di premi, tuttavia, per ritirare il denaro "guadagnato", è necessario accumulare una determinata somma. Di solito hanno una lista dei sistemi di pagamento e delle banche più popolari attraverso cui presumibilmente sarebbe possibile trasferire i premi. Ma anche quando gli utenti riescono ad accumulare abbastanza per il prelievo, non ricevono i pagamenti promessi. Con questo record anche vengono rilevati altri software indesiderati basati sul codice di tali programmi.

Program.CloudInject.1

Rilevamento di applicazioni Android modificate tramite il servizio cloud CloudInject e l'omonima utility Android (aggiunta al database dei virus Dr.Web come Tool.CloudInject). Tali programmi vengono modificati sul server remoto, e l'utente (modificatore) interessato a modificarli non ha il controllo su che cosa esattamente verrà incorporato in essi. Inoltre, le applicazioni ricevono un set di autorizzazioni pericolose. Dopo la modificazione dei programmi, al modificatore compare la possibilità di gestirli in remoto: bloccarli, visualizzare dialoghi configurabili, tracciare l'installazione e la rimozione di altri software ecc.

Program.FakeAntiVirus.1

Rilevamento di programmi adware che simulano il funzionamento di software antivirus. Tali programmi possono segnalare minacce inesistenti e ingannare gli utenti chiedendo di pagare per l'acquisto di una versione completa.

Program.SecretVideoRecorder.1.origin

Rilevamento di varie versioni di un'applicazione per la ripresa di foto e video in background attraverso le fotocamere integrate di dispositivi Android. Questo programma può funzionare impercettibilmente consentendo di disattivare le notifiche di registrazione, nonché cambiare con quelle false l'icona e la descrizione dell'app. Tali funzionalità lo rendono potenzialmente pericoloso.

Program.TrackView.1.origin

Rilevamento di un'applicazione che consente di monitorare gli utenti attraverso i dispositivi Android. Utilizzando questo programma, i malintenzionati possono rilevare la posizione dei dispositivi di destinazione, utilizzare la fotocamera per registrare video e scattare foto, effettuare l'ascolto tramite il microfono, creare registrazioni audio ecc.

Tool.Packer.1.origin

Utility packer specializzata per la protezione di applicazioni Android dalla modifica e dal reverse engineering. Non è malevola, ma può essere utilizzata per la protezione di programmi sia innocui che trojan.

Tool.SilentInstaller.17.origin

Piattaforma software potenzialmente pericolosa che consente alle applicazioni di avviare i file APK senza la loro installazione. Questa piattaforma crea un ambiente di esecuzione virtuale nel contesto delle applicazioni in cui è incorporata. I file APK avviati tramite di esse possono funzionare come se facessero parte di tali programmi e ricevere automaticamente le stesse autorizzazioni.

Tool.NPMod.1

Tool.NPMod.2

Rilevamento di applicazioni Android modificate tramite l'utility NP Manager. In tali programmi è incorporato un modulo speciale che consente di aggirare il controllo della firma digitale dopo la loro modifica.

Tool.LuckyPatcher.1.origin

Utility che consente di modificare le applicazioni Android installate (creare patch per esse) al fine di modificarne la logica di funzionamento o aggirare determinate restrizioni. Ad esempio, utilizzandola, gli utenti possono tentare di disattivare il controllo dei permessi di root in programmi bancari od ottenere risorse illimitate in giochi. Per creare le patch, l'utility scarica da internet script appositamente preparati che chiunque sia interessato può creare e aggiungere a un database comune. Le funzionalità di tali script possono risultare, tra l'altro, anche malevole, pertanto, le patch create possono rappresentare un potenziale pericolo.

Adware.ModAd.1

Rilevamento di alcune versioni modificate (mods) dell'app di messaggistica WhatsApp, nelle cui funzionalità è incorporato un codice per caricare i link di destinazione tramite web view durante l'utilizzo dell'app. Da questi indirizzi internet viene eseguito il reindirizzamento verso i siti pubblicizzati, ad esempio, casinò online e scommesse, siti per adulti.

Adware.Basement.1

Applicazioni che visualizzano annunci pubblicitari indesiderati che spesso portano a siti malevoli e truffaldini. Hanno una base di codice comune con i programmi indesiderati Program.FakeMoney.11.

Adware.Fictus.1.origin

Modulo adware che i malintenzionati incorporano in versioni clone di popolari giochi e programmi Android. Viene integrato in programmi tramite un packer specializzato net2share. Le copie di software create in questo modo vengono distribuite attraverso diversi store di app e dopo l'installazione visualizzano pubblicità indesiderate.

Adware.Adpush.21846

Adware.AdPush.39.origin

Moduli adware che possono essere integrati in programmi Android. Visualizzano notifiche pubblicitarie che fuorviano gli utenti. Ad esempio, tali notifiche possono somigliare ai messaggi del sistema operativo. Inoltre, questi moduli raccolgono una serie di dati riservati, nonché sono in grado di scaricare altre app e avviarne l'installazione.

Minacce su Google Play

Nel III trimestre 2024 gli analisti dei virus Doctor Web hanno continuato a trovare minacce sullo store di app Google Play. Tra queste erano numerosi nuovi programmi malevoli falsificazione Android.FakeApp i quali venivano distribuiti sotto le apparenze dei più svariati software. Parte di essi i malintenzionati di nuovo spacciavano per programmi a tema finanziario — applicazioni per investimento, tutorial finanziari, variazioni delle contabilità domestiche ecc. Alcuni di questi fornivano effettivamente le funzionalità dichiarate, tuttavia, il loro obiettivo principale è quello di caricare siti truffa. Su tali siti alle potenziali vittime vengono promessi guadagni facili e veloci tramite l'investimento in azioni, il trading di materie prime, di criptovalute ecc. Con il pretesto dell'accesso al "servizio", agli utenti viene chiesto di registrare un account o fare una richiesta per la partecipazione indicando i propri dati personali.

È interessante notare che i malintenzionati spacciavano uno dei trojan Android.FakeApp per un programma per incontri online e chat, però anche esso caricava un sito fraudolento con "investimenti".

Altri trojan Android.FakeApp un'ennesima volta venivano distribuiti sotto le apparenze di giochi. A determinate condizioni, caricavano siti di casinò online e scommesse.

Tra i programmi falsificazione i nostri specialisti hanno trovato anche nuove varianti dei trojan che si camuffano da strumenti per la ricerca di lavoro. Tali programmi malevoli caricano false liste di offerte lavoro e suggeriscono alle potenziali vittime di contattare tramite app di messaggistica un datore di lavoro (in realtà, sotto questo "datore di lavoro" si nasconde il truffatore) o stendere un "curriculum" fornendo i dati personali.

Gli analisti dei virus Doctor Web hanno inoltre rilevato su Google Play ennesimi trojan della famiglia Android.HiddenAds, che nascondono le proprie icone dal menu della schermata principale e cominciano a mostrare fastidiosi annunci pubblicitari. Si mascheravano da applicazioni di vario tipo — raccolte di immagini, app di fotoritocco, scanner di codici a barre.

Per proteggere i dispositivi Android dai programmi malevoli e indesiderati, consigliamo agli utenti di installare i prodotti antivirus Dr.Web per Android.

Indicatori di compromissione