Новый Android-троянец использует редкую технологию серверного полиморфизма
Антивирусная компания Symantec обнаружила новый троянский код под операционную систему Android, который модифицирует программный код каждый раз, когда он скачивается, дабы избежать обнаружения антивирусными средствами. В Symantec говорят, что технология "серверного полиморфизма" уже ранее использовалась вредоносным ПО, однако до сих пор — только в случае вредоносного ПО для настольных компьютеров. Теперь же данная концепция оптимизирована и для мобильных вредоносов.
Необычный механизм модификации кода работает на сервере дистрибуции, с которого ведется распространение троянца и отвечает за модификацию определенных модулей троянца, чтобы гарантировать, что каждый получатель получает уникальный набор программного кода. Данный механизм отличается от локального полиморфизма, когда код модифицируется каждый раз при запуске программы.
В Symantec говорят, что обнаружили несколько вариантов указанного троянца и определяют новое семейство, как Android.Opfake, причем все они распространяются с серверов в России. Злонамеренное ПО содержит в себе инструкции для автоматической отправки SMS-сообщений на премиальные короткие номера в нескольких странах СНГ и Европы.
По словам антивирусных специалистов, многие сегодняшние мобильные антивирусы полагаются преимущественно на статические сигнатуры и обнаружение постоянно модифицируемых кодов представляет для таких решений сложность. Еще сложнее обнаружить код если модифицируемая база достаточно велика, чтобы модифицировать больше половины троянца. В таком случае код можно детектировать, как правило, только поведенческими механизмами.
"Если производитель антивирусного решения берет за основу детектирования немодифицируемую часть троянца, то с обнаружением проблем не должно возникнуть. Однако в сегодняшнем случае у троянца модифицируется и исполняемая часть", — говорит Тим Армстронг, антивирусный специалист "Лаборатории Касперского".
По его словам, в перспективе на базе полиморфных технологий будет создаваться все больше вредоносных кодов.