Jury złożone z ekspertów zatrudnionych w Kaspersky Lab, po długich obradach i wnikliwej analizie, ogłosiło tryumfatora konkursu na „Największego złoczyńcę roku” w kategorii „Android”. Z roku na rok liczba szkodników pretendujących do tego pożądanego miana rośnie lawinowo, ale wydaje się że wyrafinowany trojan Obad wygrał zawody w cuglach. Co tak urzekło specjalistów od cyfrowych zagrożeń? Przede wszystkim ponadprzeciętna zdolność do ukrywania się przed oczami zarówno użytkownika na którego sprzęcie zagościł, zainstalowanego oprogramowania broniącego niepożądanym intruzom dostępu do systemu, jak i odpowiednich organów powołanych do tropienia w cyfrowym świecie występków o charakterze kryminalnym.
Obad, identyfikowany w bazach Kaspersky’ego jako Backdoor.AndroidOS.Obad.a, po raz pierwszy pojawił się w połowie bieżącego roku. Zwrócił uwagę niespotykanym dotąd poziomem maskowania swojej zawartości, niejednokrotnie opartym na wielopoziomowym szyfrowaniu w odniesieniu do bardziej wrażliwych elementów kodu. Prawie żaden łańcuch znaków nie występuje w nim w postaci jawnej. Nazwy zmiennych, nazwy wywoływanych procedur (zarówno własnych jak i systemowych) są zakodowane przy użyciu zmiennych metod opartych o zmienne klucze. Adres zdalnego serwera, z którym łączy się trojan (command and control server – C&C), jest dodatkowo szyfrowany za pomocą wybranego fragmentu aktualnej (z natury zmiennej) zawartości strony facebook.com. W trakcie instalacji na urządzeniu nieostrożnej ofiary Obad prosi o wpisanie go na listę aplikacji z prawami administratora (pod niewinnym pretekstem), po czym sam się z niej usuwa, pozostając od tej pory praktycznie niewidocznym w systemie, ale pracując nieustannie w tle. Usiłuje również uzyskać prawa root.
Co potrafi Obad? Przede wszystkim wysyłać SMS-y premium na numery, których lista może być aktualizowana po każdym połączeniu z serwerem C&C. Przy okazji, w razie potrzeby może zmodyfikować (wielopoziomowo zaszyfrowany) adres C&C, który zostanie użyty następnym razem. Ponadto jest w stanie instalować na urządzeniu inne szkodliwe aplikacje, a następnie rozsyłać je, jak i siebie samego, za pośrednictwem Bluetooth, dodatkowo uniemożliwiając w tym czasie na kilka sekund odblokowanie ekranu, co mogłoby ewentualnie zdradzić jego aktywność. W razie potrzeby pozwala na zdalne uruchamianie na pracującej w tle konsoli dowolnych poleceń cyberprzestępcy. Podane przykłady nie wyczerpują wszystkich umiejętności króla androidowych wirusów A.D. 2013.
Na koniec dwie pocieszające wiadomości. Pierwsza: od Androida 4.3 w górę nie istnieje już luka pozwalająca Obadowi na ukrywanie się na liście administratorów urządzenia. Druga: wirusy tworzone z myślą o mobilnym systemie Google do pomyślnego zainstalowania się wciąż potrzebują kluczowego elementu – bezmyślności użytkownika.
Źródło: Kaspersky Lab