Jak wyeliminować złośliwe oprogramowanie SoumniBot z urządzenia z Androidem
Napisany przez Tomasa Meskauskasa,
Jakim rodzajem złośliwego oprogramowania jest SoumniBot?
SoumniBot to złośliwe oprogramowanie przeznaczone dla systemu Android. Wykorzystuje wyrafinowane techniki antyanalityczne i antywykrywcze. Ten złośliwy program jest przeznaczony do eksfiltracji poufnych danych z urządzeń, ze szczególnym uwzględnieniem informacji związanych z bankowością. Zaobserwowano, że SoumniBot jest wykorzystywany w atakach na klientów koreańskich banków internetowych.
Przegląd złośliwego oprogramowania SoumniBot
Jak wspomniano we wstępie, SoumniBot wykorzystuje nowatorskie techniki przeciwdziałania wykrywaniu i analizie. W skrócie, złośliwe oprogramowanie polega na zaciemnianiu swojego manifestu Androida manifestu. Twórcy SoumniBota wykryli możliwości wykorzystania w procedurach ekstrakcji i analizowania manifestu.
Zaimplementowano trzy metody komplikujące wykrywanie/analizę. Pierwszą z nich jest nieprawidłowa walidacja pola metody kompresji. Podczas gdy zazwyczaj programy rozpakowujące uznają manifesty takie jak SoumniBot za nieprawidłowe, parser Android APK rozpoznaje je i zezwala na instalację złośliwego oprogramowania.
Drugi to nieprawidłowy rozmiar manifestu. Złośliwy zarchiwizowany manifest jest większy niż wskazano, co powoduje nakładanie się. Chociaż parsery stosujące bardziej rygorystyczne protokoły uznałyby plik za nieczytelny, parser Android APK nie napotyka żadnych problemów.
Trzeci to długie nazwy przestrzeni nazw. Nadmierne nazwy przestrzeni nazw sprawiają, że manifesty są nieczytelne, ale tego błędu można uniknąć, ponieważ system operacyjny Android całkowicie je ignoruje. Ponadto złośliwe oprogramowanie ukrywa swoją ikonę po instalacji.
Po udanej infiltracji SoumniBot nawiązuje połączenie z serwerem C&C (Command and Control). Złośliwe oprogramowanie zaczyna zbierać interesujące informacje, np. adres IP i dane geolokalizacyjne, listę zainstalowanych aplikacji, dostawcę usług mobilnych, numer telefonu, listy kontaktów, konta, poziomy głośności dzwonka itp.
SoumniBot może również dodawać i usuwać kontakty. Jest w stanie eksfiltrować SMS-y i MMS-y ofiar, a nawet wysyłać wiadomości tekstowe. Podczas gdy ta ostatnia funkcja nie była wykorzystywana do żadnych złożonych celów w czasie badań, należy wspomnieć, że twórcy SoumniBota mogli go zaktualizować, aby działał jako Toll Fraud malware.
Ten program może eksfiltrować zdjęcia i filmy przechowywane na zainfekowanych urządzeniach. Może przełączać się między trybami cichym i debugowania.
SoumniBot wyszukuje cyfrowe certyfikaty koreańskich banków. Te certyfikaty identyfikacyjne są wydawane klientom banków w celu umożliwienia im dostępu do usług bankowości internetowej i przeprowadzania transakcji.
Należy wspomnieć, że twórcy złośliwego oprogramowania często ulepszają swoje dzieła; dlatego potencjalne przyszłe wersje SoumniBot mogą pochwalić się dodatkowymi/innymi możliwościami i funkcjami.
Podsumowując, obecność oprogramowania takiego jak SoumniBot na urządzeniach może prowadzić do poważnych problemów z prywatnością, znacznych strat finansowych i kradzieży tożsamości.
| Nazwa | SoumniBot virus |
| Typ zagrożenia | Złośliwe oprogramowanie Android, złośliwa aplikacja, złośliwe oprogramowanie bankowe, trojan bankowy. |
| Nazwy wykrywania | Avast-Mobile (Android:Evo-gen [Trj]), DrWeb (Android.Spy.5987), ESET-NOD32 (Wariant Generik.NIEWRII), Fortinet (Android/Agent.MFQ!tr), Kaspersky (HEUR:Trojan-Banker.AndroidOS.SoumniBot), Pełna lista (VirusTotal) |
| Objawy | Urządzenie działa wolno, ustawienia systemowe są modyfikowane bez zgody użytkownika, pojawiają się podejrzane aplikacje, znacznie wzrasta zużycie danych i baterii. |
| Metody dystrybucji | Zainfekowane załączniki wiadomości e-mail, złośliwe reklamy online, inżynieria społeczna, zwodnicze aplikacje, oszukańcze strony internetowe. |
| Uszkodzenie | Kradzież danych osobowych (prywatnych wiadomości, loginów/haseł itp.), spadek wydajności urządzenia, szybkie rozładowanie baterii, spadek prędkości Internetu, ogromne straty danych, straty pieniężne, kradzież tożsamości (złośliwe aplikacje mogą nadużywać aplikacji komunikacyjnych). |
| Usuwanie malware (Android) | Aby usunąć możliwe infekcje malware, przeskanuj urządzenie przenośne profesjonalnym oprogramowaniem antywirusowym. Nasi analitycy bezpieczeństwa zalecają korzystanie z Combo Cleaner. |
Przykłady złośliwego oprogramowania bankowego
GoldPickaxe, Greenbean, oraz Joker to tylko kilka z naszych artykułów na temat złośliwego oprogramowania na Androida, które szuka informacji związanych z bankowością. Złośliwe oprogramowanie może mieć różne szkodliwe możliwości, które są nieograniczone przez klasyfikację programu. Na przykład, funkcje kradzieży danych są powszechne.
Niezależnie jednak od sposobu działania złośliwego oprogramowania - jego obecność na urządzeniu zagraża integralności systemu i bezpieczeństwu użytkownika. Dlatego tak ważne jest wyeliminowanie wszystkich zagrożeń natychmiast po ich wykryciu.
Jak SoumniBot przeniknął do mojego urządzenia?
Ogólnie rzecz biorąc, złośliwe oprogramowanie jest rozprzestrzeniane za pomocą phishingu i taktyk socjotechnicznych. Złośliwe oprogramowanie jest zwykle ukryte lub dołączone do legalnej/zwykłej zawartości.
Najbardziej rozpowszechnione techniki dystrybucji złośliwego oprogramowania obejmują: pobieranie drive-by (ukradkowe/zwodnicze), niezaufane kanały pobierania (np. witryny z darmowym oprogramowaniem i darmowymi plikami, sieci udostępniania Peer-to-Peer, sklepy z aplikacjami innych firm itp.), złośliwe załączniki/linki w spamie (np, ), złośliwe reklamy, oszustwa internetowe, nielegalne narzędzia do aktywacji oprogramowania ("cracks") i fałszywe aktualizacje.
Co więcej, niektóre złośliwe programy mogą samodzielnie rozprzestrzeniać się za pośrednictwem sieci lokalnych i wymiennych urządzeń pamięci masowej (np. zewnętrznych dysków twardych, pamięci flash USB itp.).
Warto wspomnieć, że złośliwe oprogramowanie można napotkać w legalnych źródłach pobierania, takich jak Google Play Store. Chociaż okres hostingu może być krótki, ponieważ systemy przeglądania/raportowania przesyłania zapewniają usunięcie złośliwej zawartości - cyberprzestępcy nadal mogą uznać to za opłacalne.
Jak uniknąć instalacji złośliwego oprogramowania?
Zdecydowanie zalecamy zapoznanie się z oprogramowaniem, czytając warunki i recenzje użytkowników/ekspertów, sprawdzając uprawnienia, weryfikując legalność dewelopera itp. Ponadto wszystkie pliki do pobrania muszą być pobierane z oficjalnych i godnych zaufania kanałów. Programy muszą być aktywowane i aktualizowane przy użyciu oryginalnych funkcji/narzędzi, ponieważ te uzyskane od stron trzecich mogą zawierać złośliwe oprogramowanie.
Innym zaleceniem jest zachowanie ostrożności podczas przeglądania, ponieważ oszukańcze i niebezpieczne treści online zwykle wyglądają niewinnie. Przychodzące wiadomości e-mail i inne wiadomości należy traktować ostrożnie. Nie wolno otwierać załączników ani linków znajdujących się w podejrzanych/nieprawidłowych wiadomościach, ponieważ mogą one być zakaźne.
Musimy podkreślić znaczenie posiadania zainstalowanego i aktualizowanego niezawodnego programu antywirusowego. Oprogramowanie zabezpieczające musi być używane do regularnego skanowania systemu i usuwania zagrożeń i problemów.
Szybkie menu:
- Wprowadzenie
- Jak usunąć historię przeglądania z przeglądarki Chrome?
- Jak wyłączyć powiadomienia w przeglądarce Chrome?
- Jak zresetować przeglądarkę Chrome?
- Jak usunąć historię przeglądania z przeglądarki Firefox?
- Jak wyłączyć powiadomienia w przeglądarce Firefox?
- Jak zresetować przeglądarkę Firefox?
- Jak odinstalować potencjalnie niechciane i/lub złośliwe aplikacje?
- Jak uruchomić urządzenie z Androidem w trybie awaryjnym?
- Jak sprawdzić zużycie baterii przez różne aplikacje?
- Jak sprawdzić wykorzystanie danych przez różne aplikacje?
- Jak zainstalować najnowsze aktualizacje oprogramowania?
- Jak zresetować system do stanu domyślnego?
- Jak wyłączyć aplikacje z uprawnieniami administratora?
Usuń historię przeglądania w przeglądarce Chrome:
Dotknij przycisku "Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz "Historia" w otwartym menu rozwijanym.
Stuknij "Wyczyść dane przeglądania", wybierz zakładkę "ZAAWANSOWANE", wybierz zakres czasu i typy danych, które chcesz usunąć, a następnie stuknij "Wyczyść dane".
Wyłącz powiadomienia przeglądarki w przeglądarce Chrome:
Dotknij przycisku "Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz "Ustawienia" w otwartym menu rozwijanym.
Przewiń w dół, aż zobaczysz opcję "Ustawienia witryny" i dotknij jej. Przewiń w dół, aż zobaczysz opcję "Powiadomienia" i dotknij jej.
Znajdź witryny dostarczające powiadomienia przeglądarki, dotknij ich i kliknij "Wyczyść i zresetuj". Spowoduje to usunięcie uprawnień przyznanych tym witrynom do dostarczania powiadomień. Jednak po ponownym odwiedzeniu tej samej witryny może ona ponownie poprosić o pozwolenie. Możesz wybrać, czy chcesz udzielić tych uprawnień, czy nie (jeśli zdecydujesz się odmówić, witryna przejdzie do sekcji "Zablokowane" i nie będzie już pytać o pozwolenie).
Zresetuj przeglądarkę internetową Chrome:
Przejdź do "Ustawienia", przewiń w dół, aż zobaczysz "Apps" i dotknij go.
Przewiń w dół, aż znajdziesz aplikację "Chrome", wybierz ją i dotknij opcji "Przechowywanie".
Dotknij "ZARZĄDZANIE PRZECHOWYWANIEM", a następnie "WYCZYŚĆ WSZYSTKIE DANE" i potwierdź czynność, dotykając "OK". Należy pamiętać, że zresetowanie przeglądarki spowoduje usunięcie wszystkich przechowywanych w niej danych. Oznacza to, że wszystkie zapisane loginy/hasła, historia przeglądania, ustawienia inne niż domyślne i inne dane zostaną usunięte. Konieczne będzie również ponowne zalogowanie się do wszystkich witryn internetowych.
Usuń historię przeglądania z przeglądarki Firefox:
Dotknij przycisku "Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz "Historia" w otwartym menu rozwijanym.
Przewiń w dół, aż zobaczysz "Wyczyść prywatne dane" i dotknij go. Wybierz typy danych, które chcesz usunąć i dotknij "Wyczyść dane".
Wyłącz powiadomienia przeglądarki w przeglądarce Firefox:
Odwiedź witrynę, która dostarcza powiadomienia przeglądarki, dotknij ikony wyświetlanej po lewej stronie paska adresu URL (ikona niekoniecznie będzie "Zamkiem") i wybierz "Edytuj ustawienia witryny".
W otwartym wyskakującym okienku wybierz opcję "Powiadomienia" i dotknij "Wyczyść".
Zresetuj przeglądarkę Firefox:
Przejdź do "Ustawienia", przewiń w dół, aż zobaczysz "Apps" i dotknij go.
Przewiń w dół, aż znajdziesz aplikację "Firefox", wybierz ją i dotknij opcji "Przechowywanie".
Dotknij "WYCZYŚĆ DANE" i potwierdź czynność, dotykając "USUŃ". Należy pamiętać, że zresetowanie przeglądarki spowoduje usunięcie wszystkich przechowywanych w niej danych. Oznacza to, że wszystkie zapisane loginy/hasła, historia przeglądania, ustawienia inne niż domyślne i inne dane zostaną usunięte. Konieczne będzie również ponowne zalogowanie się do wszystkich witryn internetowych.
Odinstaluj potencjalnie niechciane i/lub złośliwe aplikacje:
Przejdź do "Ustawienia", przewiń w dół, aż zobaczysz "Apps" i dotknij go.
Przewiń w dół, aż zobaczysz potencjalnie niechcianą i/lub złośliwą aplikację, wybierz ją i dotknij "Odinstaluj". Jeśli z jakiegoś powodu nie możesz usunąć wybranej aplikacji (np. pojawia się komunikat o błędzie), spróbuj użyć "Trybu bezpiecznego".
Uruchom urządzenie z systemem Android w trybie awaryjnym:
"Tryb bezpieczny" w systemie operacyjnym Android tymczasowo wyłącza działanie wszystkich aplikacji innych firm. Korzystanie z tego trybu jest dobrym sposobem na diagnozowanie i rozwiązywanie różnych problemów (np. usuwanie złośliwych aplikacji, które uniemożliwiają użytkownikom wykonywanie tych czynności, gdy urządzenie działa "normalnie").
Naciśnij przycisk "Zasilanie" i przytrzymaj go do momentu wyświetlenia ekranu "Wyłączanie". Stuknij ikonę "Wyłącz zasilanie" i przytrzymaj ją. Po kilku sekundach pojawi się opcja "Tryb bezpieczny", którą będzie można uruchomić poprzez ponowne uruchomienie urządzenia.
Sprawdź zużycie baterii w różnych aplikacjach:
Przejdź do "Ustawienia", przewiń w dół, aż zobaczysz "Konserwacja urządzenia" i dotknij go.
Stuknij "Bateria" i sprawdź zużycie energii przez poszczególne aplikacje. Legalne/oryginalne aplikacje są zaprojektowane tak, aby zużywały jak najmniej energii, aby zapewnić jak najlepsze wrażenia użytkownika i oszczędzać energię. Dlatego wysokie zużycie baterii może wskazywać, że aplikacja jest złośliwa.
Sprawdź wykorzystanie danych przez różne aplikacje:
Przejdź do "Ustawień", przewiń w dół, aż zobaczysz "Połączenia" i dotknij go.
Przewiń w dół, aż zobaczysz "Użycie danych" i wybierz tę opcję. Podobnie jak w przypadku baterii, legalne / oryginalne aplikacje są zaprojektowane tak, aby zminimalizować zużycie danych w jak największym stopniu. Oznacza to, że duże zużycie danych może wskazywać na obecność złośliwej aplikacji. Należy pamiętać, że niektóre złośliwe aplikacje mogą być zaprojektowane do działania tylko wtedy, gdy urządzenie jest podłączone do sieci bezprzewodowej. Z tego powodu należy sprawdzić wykorzystanie danych zarówno w sieci komórkowej, jak i Wi-Fi.
Jeśli znajdziesz aplikację, która zużywa dużo danych, mimo że nigdy z niej nie korzystasz, zdecydowanie zalecamy odinstalowanie jej tak szybko, jak to możliwe.
Zainstaluj najnowsze aktualizacje oprogramowania:
Aktualizowanie oprogramowania jest dobrą praktyką, jeśli chodzi o bezpieczeństwo urządzenia. Producenci urządzeń stale wydają różne poprawki bezpieczeństwa i aktualizacje Androida w celu naprawienia błędów i usterek, które mogą być wykorzystywane przez cyberprzestępców. Nieaktualny system jest znacznie bardziej podatny na ataki, dlatego też należy zawsze upewnić się, że oprogramowanie urządzenia jest aktualne.
Przejdź do "Ustawienia", przewiń w dół, aż zobaczysz "Aktualizacja oprogramowania" i dotknij go.
Stuknij "Pobierz aktualizacje ręcznie" i sprawdź, czy dostępne są jakieś aktualizacje. Jeśli tak, zainstaluj je natychmiast. Zalecamy również włączenie opcji "Pobieraj aktualizacje automatycznie" - umożliwi to systemowi powiadamianie o wydaniu aktualizacji i/lub jej automatyczną instalację.
Zresetuj system do stanu domyślnego:
Wykonanie "Factory Reset" to dobry sposób na usunięcie wszystkich niechcianych aplikacji, przywrócenie domyślnych ustawień systemu i ogólne wyczyszczenie urządzenia. Należy jednak pamiętać, że wszystkie dane w urządzeniu zostaną usunięte, w tym zdjęcia, pliki wideo / audio, numery telefonów (przechowywane w urządzeniu, a nie na karcie SIM), wiadomości SMS i tak dalej. Innymi słowy, urządzenie zostanie przywrócone do stanu pierwotnego.
Można również przywrócić podstawowe ustawienia systemowe i/lub po prostu ustawienia sieciowe.
Przejdź do "Ustawienia", przewiń w dół, aż zobaczysz "O telefonie" i dotknij go.
Przewiń w dół, aż zobaczysz "Resetuj" i dotknij go. Teraz wybierz czynność, którą chcesz wykonać:
"Zresetuj ustawienia" - przywrócenie wszystkich ustawień systemowych do domyślnych;
"Zresetuj ustawienia sieciowe" - przywrócenie wszystkich ustawień sieciowych do domyślnych;
"Zresetuj dane fabryczne" - zresetowanie całego systemu i całkowite usunięcie wszystkich zapisanych danych;
Wyłącz aplikacje z uprawnieniami administratora:
Jeśli złośliwa aplikacja uzyska uprawnienia administratora, może poważnie uszkodzić system. Aby zapewnić maksymalne bezpieczeństwo urządzenia, należy zawsze sprawdzać, które aplikacje mają takie uprawnienia i wyłączać te, które nie powinny.
Przejdź do "Ustawienia", przewiń w dół, aż zobaczysz "Ekran blokady i zabezpieczenia" i dotknij go.
Przewiń w dół, aż zobaczysz "Inne ustawienia zabezpieczeń", dotknij go, a następnie dotknij "Aplikacje administratora urządzenia".
Zidentyfikuj aplikacje, które nie powinny mieć uprawnień administratora, dotknij ich, a następnie dotknij "DEAKTYWUJ".
Często zadawane pytania (FAQ)
Moje urządzenie z Androidem jest zainfekowane złośliwym oprogramowaniem SoumniBot, czy powinienem sformatować urządzenie pamięci masowej, aby się go pozbyć?
Usuwanie złośliwego oprogramowania rzadko wymaga tak drastycznych środków.
Jakie są największe problemy, które może powodować złośliwe oprogramowanie SoumniBot?
Zagrożenia związane z infekcją zależą od możliwości złośliwego programu i celów cyberprzestępców. SoumniBot to złośliwe oprogramowanie wykradające dane, którego celem są informacje bankowe. Tego rodzaju infekcje wiążą się z poważnymi zagrożeniami prywatności, stratami finansowymi i kradzieżą tożsamości.
Jaki jest cel złośliwego oprogramowania SoumniBot?
Złośliwe oprogramowanie jest wykorzystywane głównie w celach zarobkowych. Jednak cyberprzestępcy mogą również wykorzystywać złośliwe oprogramowanie do rozrywki, prowadzenia osobistych zemst, zakłócania procesów (np. stron internetowych, usług itp.), angażowania się w haktywizm i przeprowadzania ataków motywowanych politycznie/geopolitycznie.
Jak złośliwe oprogramowanie SoumniBot przeniknęło do mojego urządzenia z Androidem?
Najczęściej stosowane metody dystrybucji obejmują: pobieranie drive-by download, oszustwa internetowe, spam, złośliwe reklamy, podejrzane źródła pobierania (np. witryny z darmowym oprogramowaniem i darmowymi plikami, sieci udostępniania P2P, sklepy z aplikacjami innych firm itp.), nielegalne narzędzia do aktywacji oprogramowania ("cracking") i fałszywe aktualizacje. Niektóre złośliwe programy mogą rozprzestrzeniać się samodzielnie za pośrednictwem sieci lokalnych i wymiennych urządzeń pamięci masowej.
Czy Combo Cleaner ochroni mnie przed złośliwym oprogramowaniem?
Tak, Combo Cleaner może wykryć i wyeliminować praktycznie wszystkie znane infekcje złośliwym oprogramowaniem. Należy podkreślić, że wykonanie pełnego skanowania systemu jest kluczowe, ponieważ wysokiej klasy złośliwe programy zazwyczaj ukrywają się głęboko w systemach.
Znakomita!
▼ Pokaż dyskusję