Коллеги из вирлаба написали статью о бэкдоре, с возможностями котого вы должны ознакомиться: http://www.securelist.com/ru/blog/207768863/Samyy_slozhnyy_Android_troyanets . В своей же статье я покажу, чем грозит заражение этим вредоносом.
Но для начала подобьем список особенностей и возможностей бэкдора:
Впечатляет? Тогда под кат, где я продемонстрирую несколько скриншотов.
Для исследования я взял Backdoor.AndroidOS.Obad.a с md5 E1064BFD836E4C895B569B2DE4700284. Вредонос не работает на эмуляторе. Возможно его удалось бы запустить после модификции эмулятора через командную строку, но мне проще использовать реальное устройство. Внимание! Не повторяйте такого!
Приложение весит 83 килобайта. Установку я сделаю с принудительной проверкой приложения антивирусом от Google:
Я не думаю, что кто-то ждал, что вредонос будет обнаружен. Ну ладно. Т.к. установка происходит через штатный инсталлятор, то все запросы показаны. В том числе те, что стоят денег. Ах, если бы читали хотябы треть пользователей.
Для проверки, заражена система или нет я буду использовать Kaspersky Mobile Security. Не потому что это реклама или что-то подобное. Просто наш продукт заведомо видит и детектирует угрозу. Удалить он все равно ее не сможет после того, как я разрешу использование функций Device Administrator. Вот как детектируется вредонос:
Теперь самое опасное — запуск. Предварительно я удалю пароль для своей WiFi точки. SIM карта была извлечена еще раньше.
Я запретил использование root прав. Тут и без них достаточно "счастья" будет. На заднем плане идет обратный отсчет до появления экрана предоставление прав администратора устройства. Я предоставил эти права. Всё. Если ваш аппарт не рутован, то вы не сможете удалить это приложение. Вы уже видели, что кнопки удаления недоступны. Но даже если вызвать удаление иным образом, его нельзя завершить из-за уязвимости в Device Admin. Сейчас я попытаюсь вызвать удаление из Kaspersky Mobile Security.
Как вы можете убедиться, в списке DA вредоноса действительно не видно. А значит права администратора системы забрать у него нельзя. Так что если вы не уверены в своих знаниях и опыте, лучше используйте проверенный антивирус. Любой. Главное, чтобы у него была заслуженная великолепная репутация. Как специалист, я бы рекомендовал антивирусы отечественных производителей, т.к. в России пока еще не забивают на реальные исследования и тестирования.
Но это было отступление. Давайже же удалять вредоноса! Благо прав root у него нет, а возможность предоставить их проверенным средствам — есть. Все, используемое мною для нейтрализации угрозы имеет права root. Я не буду показывать этого, но после каждой попытки я проверяю, что вредонос остался/удален сразу двумя способами. Сначала я нахожу его в списке приложений (кстати, скриншот этого списка в шапке статьи), затем проверяю нашим ативирусом. Вердикт антивируса приоритетнее; я знаю как работает он и знаю, как работает система.
Начну с неспециализированного приложения — с популярного файлового менеджера ES Explorer.
Как видим, он не справился. Тогда попытаемся просто удалить вредоноса руками. Благо знаем имя пакета.
Есть! Но получилось, что специальный инструмент в ES Explorer не справился, а "ручной режим" справился. Делаем вывод — автомат в нем бесполезен.
Второе приложение — специализированная утилита для удаления мусора, в том числе приложений — SD Maid.
Вполне ожидаемо приложение видит вредоноса, но удалить не сумело. При этом сделало какое-то невнятное заявление о скрытии системного приложения. Ну, раз и тут автомат не справился, переходим на ручник.
Но здесь нет папки вредоноса. Очевидно, что ручник не приспособлен вообще для серьезной работы, только для очистки мусора.
Хорошо, раз в режиме "руками" мы смогли снести заразу, попробуем сделать этот из adb shell, как меня попросили в Juick. Собственно, тут ждать проблем не приходится.
rm com.android.system.admin-1.apk
И вредоноса нет. Теперь остается просто подчистить хвосты. Можно даже штатно.
Следующим будет приложение RootAppDelete. Выбираем удаление пользовательского ПО и.
Эта утилита не использует прав root для удаления пользовательских приложений, а вызывает штатный анисталлер. В итоге удалить бекдора им нельзя.
Ну и опробуем то, что не может вызывать сомнений — Titianium Backup.
Как видно на последнем скриншоте, хвосты штатно зачистить все еще нельзя. Ну это не проблема. Перезагружаем смартфон и.
Да, я использовал сделаный ранее скриншот, но сути не меняет 🙂
Итак, мы столкнулись с вредоносом, который хоть и можно обезвредить, но это просто не под силу подавляющему большинству пользователей. Более того, этот вредонос защищается от удаления только штатными возможностями Android и при наличии root не использует эти права для самозащиты. Но теперь, вооружившись знанием о подобных вредоносах, вы сможете вынести их руками. Если, конечно, ваш аппарат рутован. В противном случае вам придется сделать сброс.
P.S. После удаления вредоноса и вставки SIM я обнаружил, что отключен мобильный интернет. Не исключаю, что это поведение Android или даже прошивки от Motorola. Но может быть и подлянка вредоноса.
Если вам интересны новости мира ИТ также сильно, как нам, подписывайтесь на наш Telegram-канал. Там все материалы появляются максимально оперативно. Или, может быть, вам удобнее "Вконтакте" или Twitter? Мы есть также в Яндекс.Дзене и даже Facebook.
Погодные приложения, оптимизаторы, дефолтный браузер — от этого всего лучше избавиться.
Facebook и другие социальные сети
Социальная сеть Facebook является сегодня самой популярной в мире, поэтому неудивительно, что соответствующее мобильное приложение установлено у огромного количества пользователей. Мобильный клиент позволяет вам получать уведомления о новых лайках, постить фотки своей еды и всегда оставаться на связи с друзьями. Однако взамен это приложение потребляет огромное количество системных ресурсов и значительно уменьшает срок работы мобильного гаджета от батареи. Согласно ежегодному отчёту App Report 2015 AVG Android App Report, именно мобильный клиент Facebook занимает верхние строчки в хит-параде самых прожорливых программ на платформе Android.
Альтернатива. Используйте мобильную версию Facebook в любом современном браузере. Функциональность отличается ненамного, зато отсутствуют раздражающие уведомления и стремительно тающая батарея.
The Weather Channel и другие погодные приложения
The Weather Channel — отличный пример того, как на самой простой функции — отображении прогноза погоды — разработчики умудряются выстроить целый мегакомбайн. Здесь вы увидите и анимированные обои, и метеорологические карты, и букет интерактивных виджетов, и бог знает что ещё. Всё это хозяйство сидит в оперативной памяти устройства, каждые пять минут стучится в интернет и, разумеется, самым бессовестным образом съедает заряд вашей батареи.
Альтернатива. Выгляните в окошко — вы получите гораздо более надёжную информацию, чем то, что показывает виджет рабочего стола. Если необходим прогноз, то Google предоставит вам самое надёжное предсказание на неделю вперёд.
AntiVirus FREE и другие антивирусные программы
Дискуссия о том, нужны ли антивирусные программы на устройствах под управлением Android, иногда бывает довольно горячей. Я придерживаюсь мнения, что если вы не получаете root-права на устройстве и не устанавливаете взломанные программы из сторонних сомнительных источников, то антивирус вам не нужен. Компания Google бдительно следит за содержимым своего магазина и моментально удаляет из него все потенциально опасные элементы, поэтому всегда активный мониторинг антивируса будет только зря тормозить ваш смартфон или планшет.
Альтернатива. Если возникли всё-таки сомнения в здоровье гаджета, то установите антивирус, просканируйте, а затем удалите его.
Clean Master и другие оптимизаторы системы
Вера в чудеса является самой главной движущей силой для распространения разных «очистителей» и «оптимизаторов». Мол, сотни лучших программистов Google не смогли довести свою систему до ума, а вот этот изобретатель-одиночка взял и сделал! Спешим вас расстроить: большинство подобных приложений либо вообще ничего не делают, либо наносят только вред. Очистить кэш, удалить остатки старых программ можно и встроенными системными инструментами. Очистка же памяти на самом деле только замедляет запуск программ и работу Android вместо обещанного создателями утилит ускорения системы.
Альтернатива. Используйте имеющиеся в Android инструменты для очистки кэша приложений. Забудьте об оптимизации памяти.
Дефолтный браузер
Некоторые производители и разработчики сторонних прошивок снабжают свои творения специальными версиями браузера. Как правило, в них намертво вшиты ссылки на сайты рекламодателей и другой ненужный вам контент. Кроме этого, никто не может поручиться, что такой браузер не сливает вашу информацию налево. Лучше никогда не использовать подобную программу и вообще, если это возможно, удалить её из системы.
Альтернатива. Для Android существуют десятки хороших браузеров, но самым надёжным и быстрым является, несомненно, Google Chrome. Он функционален, обладает поддержкой самых современных веб-технологий, умеет экономить мобильный трафик и обладает простым и понятным интерфейсом.
А какие приложения вы считаете самыми вредными на платформе Android?
Всем привет. Ребята, сразу к делу:
DioDictService — связано со словарем клавиатуры. Возможно участвует в исправлении ошибок, в орфографических подсказках. Ребята, сори, но реал инфы в интернете почти нет..
Если не используете эту прогу — то можно удалить. Но опять же, лучше не удалять, а морозить, и потом уже если точно не будет проблем — удалять. Морозить советую при помощи Titanium Backup.
Процесс программы — com.diotek.diodict3.service.
Некоторые юзеры удаляют это приложение сразу из прошивки.
Важная инфа. Один чел удалил три приложения — DioDictService, Play Музыка и GroupPlay, после этого перестал работать автоповорот:
Другой чел тоже удалил три приложения — DioDictService, Samsung Hub, SamsungHub Updater и у него также перестал работать автоповорот экрана:
Поэтому я делаю вывод — будьте осторожны при удалении DioDictService, точной инфы нет, но возможно каким-то боком оно связано с автоповротом экрана..
Инфа о других непонятных приложениях
Ребята, на всякий случай я еще нашел инфу о других приложениях. Я напишу коротко, надеюсь кому-то информация пригодиться.
| Название | Зачем нужно |
|---|---|
| DeviceKeystring | Инженерное меню. По другой информации это меню каких-то тестов телефона. Возможно это относится только к Самсунгу. Открыть меню можно при помощи комбинации *#7353#. Имя пакета — com.sec.android.app.factorykeystring. |
| DeviceTest | Тестирование. Можно узнать еще инфу об аппаратной части телефона. Это приложение раньше вроде называлось FactoryTest. |
| DSMLawmo | Lawmo-это Lock and Wipe Management Object, переводится как удаленное блокирование устройства и стирание информации через Samsung Dive. Можно удалить, но лучше сделать резервную копию сначала. А еще лучше не удалять, а морозить при помощи Titanium Backup. |
| MDMApp | Все что удалось найти — что возможно относится к корпоративным VPN сетям и PIN-сервисам. Имя пакета — com.samsung.android.mdm. |
| PopupuiReceiver | Отвечает за уведомления о незакрытой крышке и заглушки порта. Юзеры писали что отключали это чтобы не показывались уведомления. Имя пакета — com.sec.android.app.popupuireceiver. |
| HwModuleTest | Тесты телефона — цвета экрана, битые пикселы, спикер, вибро, датчики, камера, тачскрин, сенсора и другие. Вроде тесты доступны после ввода сервисного пароля. Удалять нельзя. Имя пакета — com.sec.android.app.hwmoduletest. |
| FmmDM | Компонент сервиса поиска украденного телефона (Find My Mobile). |
| SOAgent | Обновление ПО. |
Заключение
Ребята, постарался узнать инфы — все что узнал, написал, а также.. узнал еще о других приложениях))
Думаю что главное, что мы выяснили, что DioDictService — связано с клавой. Что точно делает увы непонятно. Удалять.. не знаю.. можно, но лучше морозить сперва, чтобы понять какие глюки могут быть с телефоном..
Надеюсь инфа помогла. Удачи вам и до новых встреч!
Добавить комментарий Отменить ответ
Этот сайт использует Akismet для борьбы со спамом. Узнайте как обрабатываются ваши данные комментариев.
