За «Камасутрой для Android» скрывается СМС-троянец Android.SmsSend

Компания «Доктор Веб» уже неоднократно сообщала в своих новостных выпусках о вредоносных программах семейства Android.SmsSend. В частности, об одной из наиболее характерных версий этого троянца, значительном росте их числа в августе 2011 года и успешном использовании технологии Origins Tracing для борьбы с данным типом угроз. На сегодняшний день в вирусных базах Dr.Web имеется более 170 записей для троянцев Android.SmsSend, а антивирусная лаборатория «Доктор Веб» располагает большим количеством образцов вредоносных программ этого семейства. Более того, ежедневно на анализ поступает несколько новых семплов. Большинство новых реализаций троянцев Android.SmsSend успешно детектируются при помощи технологии Origins Tracing, позволяющей определять модификации вредоносных программ, сигнатуры которых еще не были включены в вирусные базы.

Троянец Android.SmsSend.27, который был добавлен в вирусные базы в июне 2011 года, ранее распространялся под видом приложения Jimm — мобильного клиента ICQ. Теперь же реинкарнация этой вредоносной программы преподносится злоумышленниками как приложение «Камасутра для Android».

Однако на деле это все тот же троянец, но со слегка измененными ресурсами, которые позволяют вирусописателям дать любое имя своим творениям. Вместе с тем заголовок приложения остался прежним и указывает на предыдущую ложную личину: «Настройка и установка Jimm».

Как и при распространении некоторых ранних модификаций троянцев этого семейства (например, Android.SmsSend.15), злоумышленники поместили на веб-сайт QR-код, который содержит ссылку, ведущую на эту вредоносную программу. При помощи специализированного ПО, установленного в мобильных устройствах, пользователи могут отсканировать этот код и загрузить троянца. Это увеличивает потенциал распространения, так как такой код можно разместить на любом сайте, а содержащаяся в нем ссылка все равно будет вести на вредоносный объект.

Интересной деталью является использованная иконка вебсайта, распространяющего эту вредоносную программу. В данном случае злоумышленники позаимствовали значок одной из антивирусных программ. Возможно, таким образом они хотели вселить большую уверенность в пользователей, или же он им просто приглянулся.

Более подозрительной деталью является форма для ввода адреса электронной почты, которая якобы служит для подписки пользователей на новости, связанные с обновлением приложения «Камасутра для Android». При подтверждении адреса веб-сайт сообщает об ошибке сервера, что может быть воспринято пользователями как обычный технический сбой. Однако если в эту форму поместить любой текст и подтвердить ввод, появится все та же ошибка. Учитывая сущность всего сайта и распространяемой на нем вредоносной программы, можно предположить, что данная форма может служить для сбора адресов электронной почты и дальнейшего пополнения баз данных спамеров.

Так как троянец Android.SmsSend.27 был внесен в вирусные базы несколько месяцев назад, пользователям программных продуктов Dr.Web для Android Антивирус + Антиспам и Dr.Web для Android Light не стоит опасаться данной вредоносной программы.