出现了新的Android Trojan病毒，几乎无法删除

研究人员最近发现了一种新型的Android恶意广告Trojan病毒程序，几乎不可能卸载该程序. 该程序可以假装为不同软件供应商的产品，例如Twitter，Facebook或Okta（两因素身份验证服务）. 用户的手机在感染病毒后可能会陷入潜在危险，从而使黑客能够使用root特权来获取信息.

研究人员在官方的Google Play应用中发现了20,000多个受感染的应用样本. 这些应用程序的代码或其他功能被恶意篡改，然后发布到第三方市场. 从最终用户的角度来看，被篡改的应用程序与原始普通应用程序非常相似. 在许多示例中，包含病毒的应用程序具有与普通官方应用程序相同的功能和用户体验. 但是，被篡改的应用程序可以在后台使用强大的漏洞来获取Android操作系统的根权限.

人们在三个恶意程序中发现了病毒漏洞: Shedun，Shuanet和ShiftyBug. 此漏洞允许被篡改的应用程序将自身作为系统应用程序安装到用户的设备中，并享有较高的权限. 通常，只有操作系统级别的进程才能享有如此高的权限.

移动安全公司Lookout的研究人员在本周三发布的博客中写道: “对于个人用户来说，用Shedun，Shuanet和ShiftyBug恶意程序感染设备真是一场噩梦. 这可能意味着您要重新购买新设备. 这些恶意广告软件程序可以使系统根目录并将其作为系统应用程序安装到设备中. 删除这些应用程序和病毒几乎是不可能的，因此，如果用户希望设备恢复正常，则必须用新设备替换. ”

监视人员说，这些恶意应用程序不仅弹出广告，而且还获得系统级状态和root权限. 这样，他们可以破坏内置在Android系统中的关键安全机制. 例如，Android系统具有众所周知的沙箱机制. 沙箱中的Android应用程序无法获取其他应用程序的密码和数据. 但是，可以执行root用户操作的系统应用程序享有对用户的特权，这使他们可以破坏沙箱. 这样，根级应用程序可以完成普通应用程序无法完成的功能: 读取或修改数据和资源.

Lookout在其博客中写道: “起初，我们很好奇为什么有人想要篡改企业级两因素身份验证应用程序来弹出广告，却没有利用这一机会来获取和披露用户身份验证信息. 但是观察病毒命令和控制服务器的分布模式后，我们发现这种恶意程序从顶级应用程序商店（例如Google Play和本地应用程序商店）中获取了成千上万的应用程序，并且对其进行了篡改. 病毒篡改正常应用程序始终故意排除防病毒软件，这表明它们在病毒创建之初就已制定了详细计划. ”

骇客首先从Google Play下载人们的酒水，然后使用恶意代码对其进行篡改. 之后，黑客将其发布到第三方网站. Lookout在美国，德国，伊朗，，印度，牙买加，苏丹，巴西，墨西哥和印度尼西亚发现了大量受病毒感染的应用程序. 该公司的报告强调，使用第三方市场应用程序存在潜在的风险. 没有迹象表明被篡改的应用程序已通过Google审查并进入Google Play应用程序商店. 实际上，这种包含病毒的恶意软件每年出现数十次. 如果该恶意软件隐藏了Lookout发现的病毒，则将造成特别严重的破坏.

在许多情况下，包含病毒的恶意软件使用多个根漏洞来针对受感染手机型号的特定系统弱点. 例如，ShiftyBug包含至少8个独立的根漏洞. 已经披露了诸如Memexploit，Framaroot和ExynosAbuse之类的漏洞，常规软件供应商也将使用这些漏洞来帮助Android用户扎根手机. 这样，Android用户可以克服制造商和运营商设置的障碍，以更好地使用手机.

目前，Lookout已发现20,000多个恶意软件样本，但我们仍然不知道Shedun，Shuanet和ShiftyBug分别扮演什么角色. 同一病毒的变体之间的代码非常相似，通常有71％到82％的代码是相同的.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-305251-1.html