Trojan-SMS.SymbOS.Viver первая троянская sms-программа для мобильных телефонов и смартфонов23.05.2007 «Лаборатория
Касперского» сообщает об обнаружении новой троянской программы для
мобильных телефонов — Trojan-SMS.SymbOS.Viver. Данный вирус производит
отправку SMS-сообщений на платные номера, в результате чего со счета
владельца зараженного телефона снимается определенная сумма денег,
которая перечисляется на счет злоумышленника.
«Лаборатории Касперского» уже известны троянские программы такого
типа. В прошлом году специалисты компании обнаружили подобные вирусы,
способные функционировать практически на любом мобильном телефоне с
поддержкой Java (RedBrowser, Wesber). Однако Trojan-SMS.SymbOS.Viver
создан специально для телефонов на платформе Symbian и является первым
SMS-троянцем для смартфонов.
По данным экспертов «Лаборатории Касперского», эта вредоносная
программа под видом полезного приложения распространялась через раздел
«Обменник» российского сайта dimonvideo.ru, популярного среди владельцев
смартфонов. В указанный раздел может добавлять файлы любой
зарегистрированный пользователь портала. Достоверно известно, что только
один из трех существующих на сегодняшний день вариантов
Trojan-SMS.SymbOS.Viver скачало около 200 человек. После этого троянец
был удален из доступных для загрузки файлов администрацией
dimonvideo.ru.
После установки на смартфон вирус отправляет SMS-сообщения на
номер 1055. Стоимость отправки SMS составляет 177 рублей. Короткий номер
1055 принадлежит контент-провайдеру INFON, на сервисных номерах
которого работает более 300 компаний-партнеров. Получив извещение об
использовании данного номера злоумышленниками, представители компании
INFON заблокировали его, после чего инициировали собственное
расследование и обратились к специалистам «Лаборатории Касперского» за
технической консультацией.
«Нам стало известно, что сообщения, которые отправлялись на
сервисный номер 1055, содержали лишь подобие динамического кода, то есть
цифры, напоминающие код, но не обладающие валидностью. Распространитель
вируса, являющийся, скорее всего, владельцем аккаунта в системе одного
из наших партнеров, заложил в свой вредоносный продукт функционал,
обеспечивающий отправку сообщений, обладающих неверным динамическим
кодом, и не приносящий прибыли злоумышленнику», — сообщил генеральный
директор компании INFON Кирилл Шрамко.
«Этот инцидент очередной раз показывает, что современные мобильные
технологии все чаще привлекают к себе внимание киберпреступников. В
данном случае мошенническая схема заключалась в использовании услуги
«короткого номера», предоставляемой многими мобильными операторами и
контент-провайдерами. К сожалению, возможность списания денег со счета
мобильного абонента без твердого подтверждения последнего является
уязвимым местом современных мобильных сервисов и наносит ущерб репутации
как провайдеров, так и самих сервисов в целом», — комментирует
Александр Гостев, ведущий вирусный аналитик «Лаборатории Касперского».
Следует отметить, что в рассматриваемом случае контент-провайдер —
такая же жертва злоумышленников, как и пользователи зараженных
смартфонов. Репутационный ущерб, причиненный мошенниками, значительно
превышает потенциальную прибыль от использования SMS-троянцев. В INFON
заявили, что данный инцидент является незаконным и лишенным
экономического смысла действием третьей стороны. По мнению
представителей компании, эта акция была сознательно спланирована с целью
нанесения вреда корпоративной репутации. INFON готова вернуть
пострадавшим абонентам все средства, которые были сняты с их счетов
противозаконным способом.
Сигнатуры троянской программы Trojan-SMS.SymbOS.Viver включены в
антивирусные базы продукта Антивирус Касперского Mobile. Всем его
пользователям рекомендуется произвести обновление сигнатур угроз.
Андрей Опечалин
по информации Лаборатории Касперского, Лаборатория Касперского
Источник: http://www.cityindex.ru/ci/pr2007052310.shtml
Trojan.SymbOS.Skuller.a
| Время детектирования |
19 ноя 2004 18:53 MSK |
| Время выпуска обновления |
19 ноя 2004 18:53 MSK |
| Описание опубликовано |
27 дек 2004 20:30 MSK |
Технические детали
Троянская программа, заражающая мобильные телефоны, работающие под управлением OS Symbian.
Потенциально заражению могут оказаться подвержены все мобильные телефоны, использующие платформу Symbian.
Троянец представляет собой файл формата SIS, возможное имя файла: "extended theme.sis". Размер файла - 1192117 байт.
Троянец был распространен через различные форумы, посвященные
мобильным телефонам, как программа, содержащая новые иконки, обои
рабочего стола и т. д.
При инсталляции программа создает в телефоне следующие информационные файлы и файлы приложений:
- .\System\Apps\About\About.aif
- .\System\Apps\About\About.app
- .\System\Apps\AppInst\AppInst.aif
- .\System\Apps\AppInst\Appinst.app
- .\System\Apps\AppMngr\AppMngr.aif
- .\System\Apps\AppMngr\Appmngr.app
- .\System\Apps\Autolock\Autolock.aif
- .\System\Apps\Autolock\Autolock.app
- .\System\Apps\Browser\Browser.aif
- .\System\Apps\Browser\Browser.app
- .\System\Apps\BtUi\BtUi.aif
- .\System\Apps\BtUi\BtUi.app
- .\System\Apps\bva\bva.aif
- .\System\Apps\bva\bva.app
- .\System\Apps\Calcsoft\Calcsoft.aif
- .\System\Apps\Calcsoft\Calcsoft.app
- .\System\Apps\Calendar\Calendar.aif
- .\System\Apps\Calendar\Calendar.app
- .\System\Apps\Camcorder\Camcorder.aif
- .\System\Apps\Camcorder\Camcorder.app
- .\System\Apps\CbsUiApp\CbsUiApp.aif
- .\System\Apps\CbsUiApp\CbsUiApp.app
- .\System\Apps\CERTSAVER\CERTSAVER.aif
- .\System\Apps\CERTSAVER\CERTSAVER.APP
- .\System\Apps\Chat\Chat.aif
- .\System\Apps\Chat\Chat.app
- .\System\Apps\ClockApp\ClockApp.aif
- .\System\Apps\ClockApp\ClockApp.app
- .\System\Apps\CodViewer\CodViewer.aif
- .\System\Apps\CodViewer\CodViewer.app
- .\System\Apps\ConnectionMonitorUi\ConnectionMonitorUi.aif
- .\System\Apps\ConnectionMonitorUi\ConnectionMonitorUi.app
- .\System\Apps\Converter\Converter.aif
- .\System\Apps\Converter\converter.app
- .\System\Apps\cshelp\cshelp.aif
- .\System\Apps\cshelp\cshelp.app
- .\System\Apps\DdViewer\DdViewer.aif
- .\System\Apps\DdViewer\DdViewer.app
- .\System\Apps\Dictionary\Dictionary.aif
- .\System\Apps\Dictionary\dictionary.app
- .\System\Apps\FileManager\FileManager.aif
- .\System\Apps\FileManager\FileManager.app
- .\System\Apps\GS\GS.aif
- .\System\Apps\GS\gs.app
- .\System\Apps\ImageViewer\ImageViewer.aif
- .\System\Apps\ImageViewer\ImageViewer.app
- .\System\Apps\location\location.aif
- .\System\Apps\location\location.app
- .\System\Apps\Logs\Logs.aif
- .\System\Apps\Logs\Logs.app
- .\System\Apps\mce\mce.aif
- .\System\Apps\mce\mce.app
- .\System\Apps\MediaGallery\MediaGallery.aif
- .\System\Apps\MediaGallery\MediaGallery.app
- .\System\Apps\MediaPlayer\MediaPlayer.aif
- .\System\Apps\MediaPlayer\MediaPlayer.app
- .\System\Apps\MediaSettings\MediaSettings.aif
- .\System\Apps\MediaSettings\MediaSettings.app
- .\System\Apps\Menu\Menu.aif
- .\System\Apps\Menu\Menu.app
- .\System\Apps\mmcapp\mmcapp.aif
- .\System\Apps\mmcapp\mmcapp.app
- .\System\Apps\MMM\MMM.app
- .\System\Apps\MmsEditor\MmsEditor.aif
- .\System\Apps\MmsEditor\MmsEditor.app
- .\System\Apps\MmsViewer\MmsViewer.aif
- .\System\Apps\MmsViewer\MmsViewer.app
- .\System\Apps\MsgMailEditor\MsgMailEditor.aif
- .\System\Apps\MsgMailEditor\MsgMailEditor.app
- .\System\Apps\MsgMailViewer\MsgMailViewer.aif
- .\System\Apps\MsgMailViewer\MsgMailViewer.app
- .\System\Apps\MusicPlayer\MusicPlayer.aif
- .\System\Apps\MusicPlayer\MusicPlayer.app
- .\System\Apps\Notepad\Notepad.aif
- .\System\Apps\Notepad\Notepad.app
- .\System\Apps\NpdViewer\NpdViewer.aif
- .\System\Apps\NpdViewer\NpdViewer.app
- .\System\Apps\NSmlDMSync\NSmlDMSync.aif
- .\System\Apps\NSmlDMSync\NSmlDMSync.app
- .\System\Apps\NSmlDSSync\NSmlDSSync.aif
- .\System\Apps\NSmlDSSync\NSmlDSSync.app
- .\System\Apps\Phone\Phone.aif
- .\System\Apps\Phone\Phone.app
- .\System\Apps\Phonebook\Phonebook.aif
- .\System\Apps\Phonebook\Phonebook.app
- .\System\Apps\Pinboard\Pinboard.aif
- .\System\Apps\Pinboard\Pinboard.app
- .\System\Apps\PRESENCE\PRESENCE.aif
- .\System\Apps\PRESENCE\PRESENCE.APP
- .\System\Apps\ProfileApp\ProfileApp.aif
- .\System\Apps\ProfileApp\profileapp.app
- .\System\Apps\ProvisioningCx\ProvisioningCx.aif
- .\System\Apps\ProvisioningCx\ProvisioningCx.app
- .\System\Apps\PSLN\PSLN.aif
- .\System\Apps\PSLN\PSLN.app
- .\System\Apps\PushViewer\PushViewer.aif
- .\System\Apps\PushViewer\PushViewer.app
- .\System\Apps\Satui\Satui.aif
- .\System\Apps\Satui\Satui.app
- .\System\Apps\SchemeApp\SchemeApp.aif
- .\System\Apps\SchemeApp\SchemeApp.app
- .\System\Apps\ScreenSaver\ScreenSaver.aif
- .\System\Apps\ScreenSaver\ScreenSaver.app
- .\System\Apps\Sdn\Sdn.aif
- .\System\Apps\Sdn\Sdn.app
- .\System\Apps\SimDirectory\SimDirectory.aif
- .\System\Apps\SimDirectory\SimDirectory.app
- .\System\Apps\SmsEditor\SmsEditor.aif
- .\System\Apps\SmsEditor\SmsEditor.app
- .\System\Apps\SmsViewer\SmsViewer.aif
- .\System\Apps\SmsViewer\SmsViewer.app
- .\System\Apps\Speeddial\Speeddial.aif
- .\System\Apps\Speeddial\Speeddial.app
- .\System\Apps\Startup\Startup.aif
- .\System\Apps\Startup\Startup.app
- .\System\Apps\SysAp\SysAp.aif
- .\System\Apps\SysAp\SysAp.app
- .\System\Apps\ToDo\ToDo.aif
- .\System\Apps\ToDo\ToDo.app
- .\System\Apps\Ussd\Ussd.aif
- .\System\Apps\Ussd\Ussd.app
- .\System\Apps\VCommand\VCommand.aif
- .\System\Apps\VCommand\VCommand.app
- .\System\Apps\Vm\Vm.aif
- .\System\Apps\Vm\Vm.app
- .\System\Apps\Voicerecorder\Voicerecorder.aif
- .\System\Apps\Voicerecorder\Voicerecorder.app
- .\System\Apps\WALLETAVMGMT\WALLETAVMGMT.aif
- .\System\Apps\WALLETAVMGMT\WALLETAVMGMT.APP
- .\System\Apps\WALLETAVOTA\WALLETAVOTA.aif
- .\System\Apps\WALLETAVOTA\WALLETAVOTA.APP
Также троянец создает следующие файлы:
- .\System\Libs\licencemanager20s.dll
- .\System\Libs\lmpro.r01
- .\System\Libs\lmpro.r02
- .\System\Libs\notification.cmd
- .\System\Libs\softwarecopier200.dll
- .\System\Libs\ZLIB.DLL
Файлы приложений (app), созданные троянцем, являются обычными
приложениями платформы Symbian и не содержат вредоносного кода.
Вредоносными являются aif-файлы, которые создают иконки приложений в
виде черепа и не дают доступ к указанным приложениям.
Таким образом, все приложения телефона перестают функционировать.
После заражения телефон можно использовать только по его прямому
назначению: звонить и принимать вызовы, то есть просто разговаривать.
Все остальные функции (SMS, MMS, камера, органайзер и т. д.) перестают
работать.
Троянец заменяет иконки всех приложений в телефоне на свою собственную иконку:
Источник: http://www.securelist.com/ru/descriptions/old66175
Trojan.SymbOS. Singlejump.eТроянская
программа для мобильных устройств под управлением операционной системы
Symbian. Инсталляционный архив троянца имеет размер 151551 байт.
Деструктивная активность
При инсталляции троянец извлекает из своего тела следующие файлы:
C:\System\Apps\About\About.aif
C:\System\Apps\About\About.app
C:\System\Apps\Anti-virus\Anti-virus.aif
C:\System\Apps\Anti-virus\Anti-virus.app
C:\System\Apps\AppInst\Appinst.aif
C:\System\Apps\AppInst\Appinst.app
C:\System\Apps\AppMngr\Appmngr.aif
C:\System\Apps\AppMngr\Appmngr.app
C:\System\Apps\Autolock\Autolock.aif
C:\System\Apps\Autolock\Autolock.app
C:\System\Apps\baseimage\baseimage.aif
C:\System\Apps\baseimage\baseimage.app
C:\System\Apps\Browser\Browser.aif
C:\System\Apps\Browser\Browser.app
C:\System\Apps\BtUi\BtUi.aif
C:\System\Apps\BtUi\BtUi.app
C:\System\Apps\bva\bva.aif
C:\System\Apps\bva\bva.app
C:\System\Apps\Calcsoft\Calcsoft.aif
C:\System\Apps\Calcsoft\Calcsoft.app
C:\System\Apps\Camcoder\Camcoder.aif
C:\System\Apps\Camcoder\Camcoder.app
C:\System\Apps\CbsUiApp\CbsUiApp.aif
C:\System\Apps\CbsUiApp\CbsUiApp.app
C:\System\Apps\CERTSAVER\CERTSAVER.aif
C:\System\Apps\CERTSAVER\CERTSAVER.app
C:\System\Apps\Chat\Chat.aif
C:\System\Apps\Chat\Chat.app
C:\System\Apps\ClockApp\ClockApp.aif
C:\System\Apps\ClockApp\ClockApp.app
C:\System\Apps\CodViewer\CodViewer.aif
C:\System\Apps\CodViewer\CodViewer.app
C:\System\Apps\ConnectionMonitorUi\ConnectionMonitorUi.aif
C:\System\Apps\ConnectionMonitorUi\ConnectionMonitorUi.app
C:\System\Apps\Converter\Converter.aif
C:\System\Apps\Converter\Converter.app
C:\System\Apps\cshelp\cshelp.aif
C:\System\Apps\cshelp\cshelp.app
C:\System\Apps\DataMoverCli\DataMoverCli.aif
C:\System\Apps\DataMoverCli\DataMoverCli.app
C:\System\Apps\DdViewer\DdViewer.aif
C:\System\Apps\DdViewer\DdViewer.app
C:\System\Apps\DRMRightsManager\DRMRightsManager.aif
C:\System\Apps\DRMRightsManager\DRMRightsManager.app
C:\System\Apps\FExplorer\FExplorer.aif
C:\System\Apps\FExplorer\FExplorer.app
C:\System\Apps\FileManager\FileManager.aif
C:\System\Apps\FileManager\FileManager.app
C:\System\Apps\GS\GS.aif
C:\System\Apps\GS\GS.app
C:\System\Apps\ImagePrintApp\ImagePrintApp.aif
C:\System\Apps\ImagePrintApp\ImagePrintApp.app
C:\System\Apps\ImageViewer\ImageViewer.aif
C:\System\Apps\ImageViewer\ImageViewer.app
C:\System\Apps\Logs\Logs.aif
C:\System\Apps\Logs\Logs.app
C:\System\Apps\ManualVideoEditor\ManualVideoEditor.aif
C:\System\Apps\ManualVideoEditor\ManualVideoEditor.app
C:\System\Apps\mce\mce.aif
C:\System\Apps\mce\mce.app
C:\System\Apps\MediaGallery2\MediaGallery2.aif
C:\System\Apps\MediaGallery2\MediaGallery2.app
C:\System\Apps\MediaPlayer\MediaPlayer.aif
C:\System\Apps\MediaPlayer\MediaPlayer.app
C:\System\Apps\MediaSettings\MediaSettings.aif
C:\System\Apps\MediaSettings\MediaSettings.app
C:\System\Apps\Menu\Menu.aif
C:\System\Apps\Menu\Menu.app
C:\System\Apps\mmcapp\mmcapp.aif
C:\System\Apps\mmcapp\mmcapp.app
C:\System\Apps\MmsEditor\MmsEditor.aif
C:\System\Apps\MmsEditor\MmsEditor.app
C:\System\Apps\MmsViewer\MmsViewer.aif
C:\System\Apps\MmsViewer\MmsViewer.app
C:\System\Apps\MsgMailEditor\MsgMailEditor.aif
C:\System\Apps\MsgMailEditor\MsgMailEditor.app
C:\System\Apps\MsgMailViewer\MsgMailViewer.aif
C:\System\Apps\MsgMailViewer\MsgMailViewer.app
C:\System\Apps\MusicPlayer\MusicPlayer.aif
C:\System\Apps\MusicPlayer\MusicPlayer.app
C:\System\Apps\Notepad\Notepad.aif
C:\System\Apps\Notepad\Notepad.app
C:\System\Apps\NpdViewer\NpdViewer.aif
C:\System\Apps\NpdViewer\NpdViewer.app
C:\System\Apps\NSmIDMSync\NSmIDMSync.aif
C:\System\Apps\NSmIDMSync\NSmIDMSync.app
C:\System\Apps\NSmIDSSync\NSmIDSSync.aif
C:\System\Apps\NSmIDSSync\NSmIDSSync.app
C:\System\Apps\Opera\Opera.aif
C:\System\Apps\Operatormenu\Operatormenu.aif
C:\System\Apps\Operatormenu\Operatormenu.app
C:\System\Apps\Phone\Phone.aif
C:\System\Apps\Phone\Phone.app
C:\System\Apps\Phonebook\Phonebook.aif
C:\System\Apps\Phonebook\Phonebook.app
C:\System\Apps\Photoring\Photoring.aif
C:\System\Apps\Photoring\Photoring.app
C:\System\Apps\Pinboard\Pinboard.aif
C:\System\Apps\Pinboard\Pinboard.app
C:\System\Apps\ProfileApp\ProfileApp.aif
C:\System\Apps\ProfileApp\ProfileApp.app
C:\System\Apps\ProvisioningCx\Provisioning.app
C:\System\Apps\ProvisioningCx\ProvisioningCx.aif
C:\System\Apps\PSLN\PSLN.aif
C:\System\Apps\PSLN\PSLN.app
C:\System\Apps\PushViewer\PushViewer.aif
C:\System\Apps\PushViewer\PushViewer.app
C:\System\Apps\Satui\Satui.aif
C:\System\Apps\Satui\Satui.app
C:\System\Apps\SchemeApp\SchemeApp.aif
C:\System\Apps\SchemeApp\SchemeApp.app
C:\System\Apps\ScreenSaver\ScreenSaver.aif
C:\System\Apps\ScreenSaver\ScreenSaver.app
C:\System\Apps\SimDirectory\SimDirectory.aif
C:\System\Apps\SimDirectory\SymDirectory.app
C:\System\Apps\SmartFileMan\SmartFileMan.aif
C:\System\Apps\SmartFileMan\SmartFileMan.app
C:\System\Apps\Smiltemplate\Smiltemplate.aif
C:\System\Apps\Smiltemplate\Smiltemplate.app
C:\System\Apps\SmsEditor\SmsEditor.aif
C:\System\Apps\SmsEditor\SmsEditor.app
C:\System\Apps\SmsViewer\SmsViewer.aif
C:\System\Apps\SmsViewer\SmsViewer.app
C:\System\Apps\SnakeEx\SnakeEx.aif
C:\System\Apps\SnakeEx\SnakeEx.app
C:\System\Apps\Speeddial\Speeddial.aif
C:\System\Apps\Speeddial\Speeddial.app
C:\System\Apps\Startup\Startup.aif
C:\System\Apps\Startup\Startup.app
C:\System\Apps\symcs\symcs.aif
C:\System\Apps\symcs\symcs.app
C:\System\Apps\symlu\symlu.aif
C:\System\Apps\symlu\symlu.app
C:\System\Apps\SysAp\SysAp.aif
C:\System\Apps\SysAp\SysAp.app
C:\System\Apps\SystemExplorer\SystemExplorer.aif
C:\System\Apps\SystemExplorer\SystemExplorer.app
C:\System\Apps\testserver\testserver.aif
C:\System\Apps\testserver\testserver.app
C:\System\Apps\ToDo\ToDo.aif
C:\System\Apps\ToDo\ToDo.app
C:\System\Apps\Ussd\Ussd.aif
C:\System\Apps\Ussd\Ussd.app
C:\System\Apps\VCommand\VCommand.aif
C:\System\Apps\VCommand\VCommand.app
C:\System\Apps\videotelui\videotelui.aif
C:\System\Apps\videotelui\videotelui.app
C:\System\Apps\Vm\Vm.aif
C:\System\Apps\Vm\Vm.app
C:\System\Apps\Voicerecorder\Voicerecorder.aif
C:\System\Apps\Voicerecorder\Voicerecorder.app
C:\System\Apps\WALLETAVMGMT\WALLETAVMGMT.aif
C:\System\Apps\WALLETAVMGMT\WALLETAVMGMT.app
C:\System\Apps\WALLETAVOTA\WALLETAVOTA.aif
C:\System\Apps\WALLETAVOTA\WALLETAVOTA.app
Все распаковываемые файлы за исключением описанных ниже являются
«заглушками-пустышками», заменяющими оригинальные файлы установленных
приложений, вследствие чего нарушается работоспособность последних:
* E:\autorun.inf — устанавливается на карту памяти в корневой
каталог. Служит для автоматического запуска на ПК файла
«E:\adobe_acrobat_80.exe».
* E:\adobe_acrobat_80.exe — инсталлируется на карту памяти в корневой
каталог. Имеет размер 118784 байта. Детектируется Антивирусом
Касперского как Worm.Win32.Deffective.a. Запускается автоматически при
открытии карты памяти на ПК.
* C:\System\Fonts\battles_in_the_bed.gdr — некорректный файл
системных шрифтов. После перезагрузки мобильного устройства наличие
некорректного шрифта в Symbian OS приводит к циклической перезагрузке
системы.
* E:\Images\wawa.jpg — файл, представляющий собой следующее изображение:
* E:\magic_card\bluetooth_hacking.txt и E:\System\Installs\BlueSoft
Hacking Pro.sis — текстовые файлы, содержание которых таково:
FROM : san_shaker............
BROUGHT TO U BY CANISIUS COLLEGE!
AD MAIOREM DEI GLORIAM!!!
Также червь заменяет локальные страницы управления браузера Opera:
C:\System\Apps\Opera\EN-GB\connect.html
C:\System\Apps\Opera\EN-GB\home.html
C:\System\Apps\Opera\EN-GB\index.html
C:\System\Apps\Opera\EN-GB\keypad.html
C:\System\Apps\Opera\EN-GB\start.html
C:\System\Apps\Opera\EN-GB\troubleshoot.html
C:\System\Apps\Opera\ID\connect.html
C:\System\Apps\Opera\ID\home.html
C:\System\Apps\Opera\ID\index.html
C:\System\Apps\Opera\ID\keypad.html
C:\System\Apps\Opera\ID\start.html
C:\System\Apps\Opera\ID\troubleshoot.html
C:\System\Apps\Opera\TH\connect.html
C:\System\Apps\Opera\TH\home.html
C:\System\Apps\Opera\TH\index.html
C:\System\Apps\Opera\TH\keypad.html
C:\System\Apps\Opera\TH\start.html
C:\System\Apps\Opera\TH\troubleshoot.html
C:\System\Apps\Opera\ZH-CN\connect.html
C:\System\Apps\Opera\ZH-CN\home.html
C:\System\Apps\Opera\ZH-CN\index.html
C:\System\Apps\Opera\ZH-CN\keypad.html
C:\System\Apps\Opera\ZH-CN\start.html
C:\System\Apps\Opera\ZH-CN\troubleshoot.html
Вместо указанных оригинальных страниц будет отображаться следующее сообщение:
YOU HAVE BEEN INFECTED BY SAN SHAKER'S VIRUS
Источник: http://www.unasoft.com.ua/analitika_trojan/Trojan_symbos_singlejump_e/
Trojan.SymbOS.Romride.a
Детектирование добавлено 01 июн 2006 15:44 MSK
Обновление выпущено 01 июн 2006 17:32 MSK
Описание опубликовано 24 апр 2007
Поведение Trojan, троянская программа
Троянская программа для смартфонов, работающих под управлением ОС
Symbian. Представляет собой SIS-файл «Nokia Live.sis». Размер — 3 233
байта. Собственной процедуры распространения данный вирус не имеет. Деструктивная активность Инсталляция вредоносной программы осуществляется пользователем смартфона и состоит из следующих этапов: Троянец создает в телефоне файлы: C:\System\Bootdata\CommonData.D00
C:\System\Bootdata\FirstBoot.dat
C:\System\Bootdata\LocaleData.D01
C:\System\Mail\00001000
C:\System\Mail\00100000
C:\System\Mail\00100001
C:\System\Schedules\Schedules.dat
C:\System\Shareddata\101f857a.ini
C:\System\Shareddata\10005a40.ini
C:\System\Shareddata\100056c6.ini
C:\System\Shareddata\100058f1.ini
C:\System\Shareddata\10005943.ini
C:\System\Shareddata\reserve.bin
Каждый их этих файлов является поврежденным, имеет неверный формат либо имя, из-за чего система может работать нестабильно. После установки троянец отображает на экране окно со следующим текстом: В «Диспетчере приложений» смартфона появляется запись о проинсталлированном вирусе: Рекомендации по удалению
Для удаления вредоносной программы достаточно установить файловый
менеджер с поддержкой отображения системных и скрытых файлов. Это
позволит удалить следующие файлы: C:\System\Bootdata\CommonData.D00
C:\System\Bootdata\FirstBoot.dat
C:\System\Bootdata\LocaleData.D01
C:\System\Mail\00001000
C:\System\Mail\00100000
C:\System\Mail\00100001
C:\System\Schedules\Schedules.dat
C:\System\Shareddata\101f857a.ini
C:\System\Shareddata\10005a40.ini
C:\System\Shareddata\100056c6.ini
C:\System\Shareddata\100058f1.ini
C:\System\Shareddata\10005943.ini
C:\System\Shareddata\reserve.bin
Затем необходимо перезагрузить телефон.
Источник: http://www.securelist.com/ru/descriptions/old123222
Trojan-Spy.SymbOS.Zbot
By Главный редактор
апреля 13, 2011
Специалисты компании S21Sec в конце сентября 2010 года обнаружили
вредоносную программу, что была способна быстро пересылать входящие
SMS-сообщения на определенный удаленный номер. Казалось бы ничего
интересного. Но выяснилось, что данный зловред напрямую связан с уже
известным прежде -Zbot или ZeuS. Также было установлено, что
злоумышленников в этот раз интересовали вовсе не все SMS-сообщения,
а лишь некоторые, те, что содержали определенные коды аутентификации
именно для онлайн-банковских операций. Эта вредоносная программа
задетектирована специалистами как Trojan-Spy.SymbOS.Zbot.a. Как она
атакует. Так с зараженного компьютера вред Zbot быстро крадет нужные
данные для своего доступа к онлайн-банкингу. Далее выяснив телефонный
номер предполагаемой жертвы, он посылает SMS-сообщение, конечно,
со ссылкой на указанную вредоносную программу. И затем, злоумышленник
тут же пытается провернуть операцию в нужном онлайн-банкинге, что
требует обязательного SMS-подтверждения. Как только Банк отправляет
нужное SMS-сообщение с данным кодом аутентификации на номер жертвы,
зловредная программа быстро пересылает все входящее сообщения на телефон
зловредителя. Получив код аутентификации, он завершает свою операцию
в онлайн-банкинге. Примечательно, что эта вредоносная программа была
подписана даже легальным сертификатом. Отметим, что подобная сложная
схема атаки явно «говорит» о том, что интересы злоумышленников только
расширяются. До его обнаружения SMS-аутентификация, отметим, оставалась
одним из многих надежных способов полной защиты при совершении любых
банковских операций в интернете. Сегодня, злоумышленники же научились
качественно обходить и этот уровень высокой защиты.
Источник: http://www.accessnet.ru/n/368
19 июня 2008 | Trojan-SMS.SymbOS.Gpiares.a
Поведение
Trojan-SMS.
Технические детали
Троянская программа для смартфонов, работающих под управлением ОС Symbian.
Троянец представляет собой файл формата SIS. Размер файла – 6544 байта.
Инсталляция
В процессе установки вредоносной программы выдается следующее сообщение: - "Установить Port?"
После установки вредоносного приложения в «Диспетчере приложений» появляется запись об установленной программе.
При инсталляции программа создает в телефоне следующие файлы:
!:/system/apps/Port/Port.rsc
!:system/apps/Port/Port.app
Файл "Port.app" – является исполняемым файлом формата EPOC и имеет
размер 14208 байт. Этот файл является основным файлом троянца.
"Port.rsc" – файл ресурсов программы, имеет размер 125 байт.
Деструктивная активность
Основной деструктивный функционал вредоносной программы состоит в
отправке SMS-сообщений на специальные платные номера. В результате со
счета владельца зараженного мобильного аппарата списываются определенные
суммы денег, часть которых поступает непосредственно злоумышленнику.
Рекомендации по удалению
Для удаления вредоносной программы достаточно удалить файловым менеджером следующие файлы:
!:/system/apps/Port/Port.rsc
!:/system/apps/Port/Port.app
Источник: http://nbwnews.ru/article.php?id_article=220
Trojan:SymbOS/OpFake.A Description
Trojan:SymbOS/OpFake.A is a malicious Trojan that poses as an Opera Mini
updater using the file names such as ‘OperaUpdater.sisx’ and
‘Update6.1.sisx’. The Trojan:SymbOS/OpFake.A installer adds an Opera
icon to the application menu. When executed, it will show a menu and a
bogus download progress bar. Trojan:SymbOS/OpFake.A also has a so-called
license which can be illustrated. When Trojan:SymbOS/OpFake.A is
initiated and before the PC user advances through any of the menus,
Trojan:SymbOS/OpFake.A is already sending text messages to Russian
premium rate numbers. The numbers and the content of the messages come
from an encrypted configuration file named ‘sms.xml.’
Trojan:SymbOS/OpFake.A tracks whether it has been executed before, and
won’t do anything except for the first time it is run.
Источник: http://www.spywareremove.com/removetrojansymbosopfakea.html
| 