Вирусы

Android.Becu.1.origin
Вредоносная программа, которая может находиться на некоторых мобильных Android-устройствах непосредственно в прошивке операционной системы. Представляет собой многокомпонентную угрозу, способную скрытно загружать, устанавливать и удалять различные приложения, а также блокировать СМС-сообщения, поступающие с определенных телефонных номеров. Троянец располагается в системном каталоге /system/app/ в файле Cube_CJIA01.apk (пакет com.cube.activity). Подписан системным сертификатом, что дает ему неограниченные полномочия и позволяет функционировать без необходимости взаимодействовать с пользователем.
Android.Becu.1.origin начинает вредоносную деятельность при наступлении следующих системных событий:
Поступление нового СМС-сообщения (Android.provider.Telephony.SMS_RECEIVED);
загрузка мобильного устройства (Android.intent.action.BOOT_COMPLETED).
Троянец расшифровывает свой конфигурационный файл (зашифрован при помощи алгоритма AES), в котором содержится ссылка на загрузку одного из компонентов вредоносного приложения, после чего генерирует ключ и загружает с указанного адреса блок данных, который также зашифрован AES-алгоритмом.
Lorg/json/JSONObject;->getString(Ljava/lang/String;=a_ps)Ljava/lang/String;=
=android.permission.RECEIVE_SMS
Lorg/json/JSONObject;->getString(Ljava/lang/String;=a_a)Ljava/lang/String;=
=android.provider.Telephony.SMS_RECEIVED
Lorg/json/JSONObject;->getString(Ljava/lang/String;=u_ac)Ljava/lang/String;=
=http:// https://vk.com/xxxxxxxqs.mobi/cube/ubcore?token=%s Lorg/json/JSONObject;->getString(Ljava/lang/String;=u_acf)Ljava/lang/String;=uac.apk
Lorg/json/JSONObject;->getString(Ljava/lang/String;=u_ad)Ljava/lang/String;=
=http:// https://vk.com/xxxxxxxqs.mobi/cube/adgroup?token=%s Lorg/json/JSONObject;->getString(Ljava/lang/String;=u_adf)Ljava/lang/String;=uad.apk
Полученные данные расшифровываются и сохраняются в файл с именем uac.apk, который размещается в рабочем каталоге троянца, распложенном в data/data/com.cube.activity/files/. Этот Android-пакет является одним из вспомогательных компонентов Android.Becu.1.origin, который загружается в оперативную память при помощи класса DexClassLoader. Также троянец загружает в память второй компонент uac.dex, расположенный в том же рабочем каталоге и хранящийся в формате odex.
Модули uad.apk и uac.dex (детектируются как Android.Becu.2.origin) содержат функционал, позволяющий Android.Becu.1.origin осуществлять на зараженном устройстве необходимую работу с приложениями, а именно – незаметно загружать, устанавливать и удалять программы по команде с управляющего сервера.
После запуска данных компонентов Android.Becu.1.origin проверяет, установлено ли на мобильном устройстве приложение com.zgs.ga .pack (детектируется как Android.Becu.3.origin), являющееся третьим модулем троянца. Если оно отсутствует, вредоносная программа выполняет его загрузку и установку.
Android.Becu.1.origin способен блокировать все СМС-сообщения, которые поступают с номеров, внесенных в черный список троянца.