Szkodliwe programy mobilne: ewolucja

Przeczytaj także: Życzenia świąteczne od cyberprzestępców

Szkodliwa funkcja

Java 2 Micro Edition (J2ME) jest głównym środowiskiem trojanów SMS. Trojany SMS stworzone dla tej platformy stanowią zagrożenie, ponieważ mogą rozprzestrzeniać się między różnymi platformami. Jeżeli telefon komórkowy (niekoniecznie smartfon) posiada zintegrowany system Java Virtual Machine, Trojan-SMS.J2ME będzie mógł zostać uruchomiony na urządzeniu./p.

Ogromna większość trojanów J2ME działa w następujący sposób: archiwum JAR zawiera kilka plików klas, z których jeden wysyła płatną wiadomość SMS na krótki numer. Inne pliki klas służą zamaskowaniu obecności szkodliwego pliku. Archiwum może zawierać również obrazy, zwykle o charakterze erotycznym, oraz plik-wykaz, który może być niekiedy wykorzystywany przez szkodliwe oprogramowanie do wysyłania wiadomości.

Zaraz po uruchomieniu Trojan-SMS.J2ME próbuje wysłać wiadomość SMS z określonym tekstem na krótki numer. W tym przypadku, Java machine ostrzega użytkownika, że aplikacja próbuje wysłać SMS-a. Użytkownik może zablokować wysłanie SMS-a. Niektórzy twórcy szkodliwego oprogramowania zdali sobie z tego sprawę i zaczęli tworzyć swoje szkodniki w taki sposób, aby szkodliwe działanie zostało zamaskowane w bardziej złożony, a niekiedy wręcz niekonwencjonalny sposób.

Przykładem może być Trojan-SMS.J2ME.Swapi.g, który po uruchomieniu wyświetla powitanie, w którym pyta użytkownika, czy chce obejrzeć zdjęcie pornograficzne. Aby zobaczyć zdjęcie, użytkownik musi wcisnąć "tak" w czasie, gdy jest odtwarzana krótka melodyjka. (W archiwum JAR programu przechowywany jest zarówno plik png zawierający obraz, jak również plik midi z melodyjką). Użytkownik, który próbuje wcisnąć "tak", w czasie gdy słyszy melodyjkę, nie ma pojęcia, że za każdym razem, gdy wciska przycisk (niezależnie od tego, czy leci w tym czasie melodyjka czy nie), wysyła SMS-a na krótki numer, a z jego konta pobierana jest pewna kwota pieniędzy.

Jedna ze stron, na której cyberprzestępcy oferują płatne usługi tworzenia takich szkodliwych programów, zawiera następujący komunikat: "Program ten jest bardzo dochodowy. Przypomina album fotograficzny. Po uruchomieniu wyświetla ładny obrazek, a następnie okienko dialogowe: "Aby kontynuować, musisz mieć ukończone 18 lat". Jeżeli użytkownik odpowie "tak", program wyśle SMS-a na krótki numer...

Programy z rodziny Trojan-SMS.Python.Flocker są tworzone dla innej platformy - Python. Zasadniczo jednak są takie same jak Trojany J2ME. Archiwum SIS zawiera główny skrypt napisany w języku Python, który wysyła wiadomości SMS na krótki numer o podwyższonej opłacie. Archiwum zawiera również dodatkowe pliki mające na celu maskowanie szkodliwej aktywności.

Modyfikacje Flockera okazały się bardzo podobne do siebie, a tym, co je różniło, był krótki numer. Podobieństwo to zdawało się sugerować, że kod źródłowy skryptu może być publicznie dostępny. Hipoteza ta potwierdziła się. Źródło skryptu w języku Python zostało opublikowane na forum i jego fragmenty okazały się identyczne z wcześniej wykrytymi szkodliwymi skryptami. Interesujące jest to, że skrypt dostępny do pobrania mógł zainfekować również inne skrypty napisane w języku Python przechowywane w telefonie.

Rozprzestrzenianie

Rosyjscy twórcy wirusów w coraz większym stopniu wykorzystują różne Trojany SMS. Jednym z najpopularniejszych sposobów (istnieje tylko kilka) rozprzestrzeniania takich szkodliwych programów jest wykorzystywanie portalów WAP, na których można pobrać różne dzwonki, obrazy, gry i aplikacje dla telefonów komórkowych. Ogromna większość trojanów SMS występuje pod postacią aplikacji, które mogą być wykorzystywane do wysyłania darmowych wiadomości SMS lub uzyskiwania darmowego dostępu do Internetu. Inne są prezentowane jako treści erotyczne lub pornograficzne.