«Лаборатория Касперского» сообщила об обнаружении SMS-троянца Podec, осуществляющего кражу денег у Android-владельцев через тайную подписку на платные сервисы и способного обходить механизм CAPTCHA этих сервисов. Основной площадкой распространения троянца стала сеть «ВКонтакте».
Зловред может отправлять сообщения на короткие номера, при этом корректно отвечая на запросы подтверждения оплаты услуги, а также подписывать жертву на платные сервисы, обходя механизм CAPTCHA, который призван отличать реального пользователя от бота.
Наибольшее число попыток заражений (почти 4 тысячи уникальных пользователей) зарегистрировано в России, за ней идет Казахстан и Украина (приблизительно по 300 пользователей в каждой стране).
«ВКонтакте» злоумышленники поддерживают специальные группы, предлагающие пользователям Android скачать взломанные версии популярных приложений. При этом вместе с ожидаемой программой жертва получает установочный пакет троянца. После запуска Podec запрашивает права администратора, чтобы укорениться на устройстве и предотвратить свое удаление пользователем или защитными решениями. В случае отказа троянец повторяет свой запрос до тех пор, пока не достигнет желаемого — нормальная работа с устройством при этом фактически невозможна. Получив права, зловред может прибегнуть к одному из вредоносных сценариев в зависимости от настроек в конфигурационном файле: к примеру, начать простейшую DDoS-атаку или же без ведома владельца устройства подписать его на платные сервисы. Последние довольно успешно до недавнего времени применяли механизм CAPTCHA с целью фильтрации программных запросов, но Podec обходит это препятствие.
Авторы троянца пользуется услугами Antigate.com — сервиса по ручному распознаванию текста на изображениях. Передавая картинку с буквами, они через несколько секунд получают распознанный сотрудником Antigate.com текст — в результате жертва без своего ведома оказывается подписана на платную услугу, о чем узнает только по списанию средств со счета.
Сравнивая ранее поступавшие образцы Podec, специалисты установили, что троянец находится в активной разработке. Код постоянно обновляется, появляются новые возможности, некоторые из которых пока даже не используются, перерабатывается архитектура модулей.
«Мы хотим напомнить одну особенность заражений Android-платформ — чаще всего работу по доставке и установке зловреда выполняет сам пользователь. Поэтому в очередной раз настоятельно рекомендуем устанавливать приложения только из официальных магазинов, например, Google Play. Ни в коем случае нельзя поддаваться на провокации вирусописателей, подталкивающих к якобы бесплатному скачиванию взломанных платных приложений. Финансовый ущерб от скрывающегося в дистрибутиве троянца намного превосходит цену приложения в официальном магазине», — отметил Виктор Чебышев, руководитель группы исследования мобильных угроз «Лаборатории Касперского».
