Что такое "installing system update" на андроид, что значит?
Это значит ровно то, что написано: установка обновления системы Андроид.
Современные операционные системы по своей структуре по сути "конструктор" (помните такую детскую игрушку?). Они состоят из огромного числа связанных друг с другом модулей. Когда в процессе эксплуатации такой системы выявляются какие-то глюки, или просто в голову разработчиков приходит очередная плодотворная дебютна идея типа "а давайте-ка мы вот тут добавим ещё фенечку. ", "а давайте мы вот эту фиговинку перерисуем. ", то просто существующие модули заменяются на новые.
Этот процесс и называется system update. И смысл его примерно один и тот же что на Андроиде, что на Винде, что на Огрызках.
Android system update что это
Крайне опасное вредоносное приложение для системы Android под названием System Updates было обнаружено специалистами из компании Zimperium. Если ставить приложения только из Play Store, волноваться не о чем. Опасность подстерегает тех, кто устанавливает программы из посторонних источников. На самом деле это не обновление системы, а собирающий пользовательские данные шпион. Эти данные затем незаметно передаются на сервер злоумышленника в зашифрованном zip-файле.
реклама
Несмотря на большое количество приложений в Play Store, некоторые программы там отсутствуют. Кроме того, у пользователей может возникнуть желание перейти на более старые версии приложений, обойти блокировку по географическому признаку и другие мотивы пользоваться сторонними сайтами для установки приложений. При этом риск получить вирус настолько велик, что в Android возможность ставить приложения из-за пределов Play Store по умолчанию отключена.
Специалисты из компании Zimperium ещё раз напомнили, зачем нужны такие предосторожности. Шпионское приложение под названием System Updates показывает ложное уведомление «Поиск обновления», пока скачивает пользовательские данных на сервер злоумышленника.
Анализ вредоносного кода Zimperium показывает, что приложение не только собирает распространённую информацию, такую как данные о звонках и СМС, сообщения WhatsApp, местоположение, содержимое буфера обмена, закладки и история браузера. Здесь есть возможность контролировать устройство жертвы, записывать звук и фотографировать.
Разработчики приложения постарались свести к минимуму расход трафика, чтобы не вызывать подозрений. Выполняется сканирование документов размером менее 30 Мб и собираются миниатюры недавних изображений и видео. Они распределяются по нескольким папкам в частном хранилище приложения. Затем зашифрованный архив отправляется на сервер, а на устройстве он удаляется, чтобы замести следы.
Почему нельзя скачивать обновления для Android из интернета
Обновления Android очень напоминают мне хрестоматийного кота Шрёддингера. Они вроде бы есть, а вроде бы их и нет. Ведь, несмотря на то что Google регулярно выпускает новые версии Android и ежемесячные патчи безопасности, до пользователей они в большинстве своём не добираются. Поэтому, лишённые обновлений, пользователи ищут разные способы поддерживать актуальность программного обеспечения. Одни для этого меняют прошивки, а другие ищут апдейты в интернете, надеясь, что уж там-то они точно есть. Но практика показывает, что это максимально опасно.
Вирус для Android выдаёт себя за системное обновление
В интернете появилось вредоносное программное обеспечение, которое выдаёт себя за системное обновление Android и носит незамысловатое название System Update. Чаще всего оно распространяется самостоятельно, но иногда может быть частью другого вредоносного ПО. Оно полностью копирует интерфейс обновлений операционной системы Android, запрашивая у пользователей доступ к системным функциям и файловой системе. Само собой, пользователь, рассчитывая, что это легальное обновление, предоставляет всё, что нужно. Но это грандиознейшая ошибка.
Какие данные воруют вирусы для Android
Вот так выглядит уведомление от якобы системного уведомление, которое по факту — опасный вирус
Получив все необходимые привилегии, вредоносное ПО получает возможность украсть практически любые типы данных:
- Переписку в мессенджерах;
- Историю звонков и SMS;
- Фотографии и видео из галереи;
- Историю поисковых запросов;
- Контакты из адресной книги;
- Записи телефонных разговоров;
- Ведёт съёмку через камеру;
- Записывает то, о чём говорят пользователи.
Поскольку пользователи видят во вредоносном ПО реальное обновление, у них не вызывает вопросов, почему оно запрашивает так много привилегий. Поэтому большинство из них открывают ему доступ ко всем системным функциям и файлам. Большую часть времени при этом вредонос абсолютно бездействует, активируясь только при совершении каких-то конкретных манипуляций либо наступлении определённых событий. Например, в момент поступления SMS-сообщения с кодом авторизации в мобильном банке или что-то типа того.
Вредоносные приложения для Android
Пользователи редко получают обновление, поэтому ведутся на всякую чушь
При этом сбор данных может вестись довольно долго без отправки. Троян накапливает все необходимые сведения о пользователей в единый архив, а потом отправляет его своим создателям. Соответственно, он может весить довольно много. Ведь если архив включает в себя фотографии, записи, SMS-сообщения, чаты из мессенджеров и другие данные, очевидно, что это могут быть сотни мегабайт. Быть архиву больше не позволяют специальные алгоритмы. Разработчики вредоноса смогли реализовать такую систему копирования данных пользователей, при которых отправляются только эскизы фото, а не фото целиком.
Скрыть отправку архива вредоносу позволяет специальное окно, которое он выводит на экран смартфона с текстом «Поиск обновлений». То есть пользователь начинает думать, что его устройство действительно ищет новые версии Android, а в это время троян просто отправляет собранные данные своим создателям. Само собой, никто в здравом уме не станет прерывать поиск обновлений, которые могут расширить функциональные возможности устройства, поэтому обычно отправка происходит без каких-либо затруднений. А единственный способ защититься от трояна – не устанавливать апдейты из интернета в принципе.
Новая спайварь для Android выдает себя за System Update
Рекомендуем почитать: 
Xakep #289. Взлом в воздухе
Исследователи из компании Zimperium обнаружили нового шпионского вредоноса для Android, который может воровать данные, сообщения, изображения или вообще захватить контроль над устройством. Какого-либо названия малвари специалисты не дали.
Спайварь маскируется под обновление системы (приложение System Update) и найти ее можно только в сторонних магазинах приложений для Android, то есть в Google Play Store вредонос никогда не проникал. Также исследователи отмечают, что распространяться на другие устройства самостоятельно угроза не может, что существенно ограничивает ее возможности и количество пострадавших пользователей. Но при этом вредонос способен похитить с зараженного устройства практически любую информацию:
«Получив контроль, хакеры могут записывать аудио и телефонные звонки, делать фотографии, просматривать историю браузера, получить доступ к сообщениям в WhatsApp и так далее», — пишут исследователи.
Эксперты перечисляют, какие данные может украсть спайварь:
- сообщения в мессенджерах;
- файлы баз данных мессенджера (при наличии root-прав);
- закладки по умолчанию и историю поисков в браузере;
- закладки и историю поиска в Google Chrome, Mozilla Firefox и браузере Samsung;
- файлы с определенными расширениями (включая .pdf, .doc, .docx, и .xls, .xlsx);
- данные из буфера обмена;
- содержимое уведомлений;
- список установленных приложений;
- изображения и видео;
- данные о местоположении по GPS;
- SMS-сообщения;
- телефонные контакты;
- журналы вызовов;
- информация об устройстве (например, установленные приложения, имя устройства, статистика хранилища).
Причем малварь будет воровать только превью видео и изображений, тем самым уменьшая расход трафика, чтобы не привлекать внимание пользователя к фоновой активности.
Помимо этого, как было сказано выше, вредонос может записывать аудио, телефонные разговоры жертвы, а также время от времени делать снимки через фронтальную или заднюю камеру девайса.
Отчет Zimperium гласит, что после установки малварь отправляет на свой управляющий сервер Firebase различные данные, включая статистику хранилища, данные о типе подключения к интернету и наличии различных приложений, таких как WhatsApp. При этом Firebase используется только для передачи команд, а отдельный C&C-сервер для сбора украденных данных (с помощью POST-запросов).
Данные спайварь собирает напрямую, если имеет root-доступ, или использует Accessibility Services, обманом заставив жертву включить эту функцию на скомпрометированном устройстве.
Еще одна интересная особенность вредоноса: для маскировки вредоносной активности он отображает поддельные уведомления о поиске обновлений, когда получает новые команды от своих операторов.
Индикаторы компрометации и подробный технический анализ угрозы можно найти в отчете Zimperium.