Может показаться, что Android избежал массовых эпидемий вирусов, как на Windows. Однако это лишь самообман, ибо даже десятки миллионов зараженных смартфонов окажутся незаметными на фоне общего количества в миллиард девайсов. Android также становился жертвой массовых эпидемий, и одну из крупнейших породило приложение Chamois. Вот как Google удалось обуздать вспышку.

В марте 2017 года команда безопасности Android завершила успешную нейтрализацию изящного ботнета, который использовал зараженные приложения для мошеннического показа рекламы и отправки SMS. Семейство вредоносного программного обеспечения впервые заметили в 2016 году, и оно распространялось через магазины приложений, включая Google Play.

Команда безопасности Android активно удаляла обнаруженные приложения с Chaimos и вроде победила. Однако восемь месяцев спустя, в ноябре 2017 года, Chamois проявил себя значительно агрессивнее. До марта 2018 года он заразил 20,8 млн гаджетов. Сегодня он не уничтожен, но эпидемию удалось почти обуздать – заражено менее 2 млн устройств.

Инженер по безопасности Android Мэдди Стоун рассказала, что авторы меняли Chamois на их глазах. «Через 72 часа после моей публикации они начали менять байты и другие индикаторы, о которых я вспомнила, – говорит она. – Мы видели, как они манипулируют кодом. Разработчики Chamois скопировали нашу среду анализа безопасности Android и создали защиту от некоторых использованных нами решений».

Пик заражения Chaimos пришелся на март 2018 года, и команда безопасности Android поняла, что не справится самостоятельно. Эксперты попросили помощи у других подразделений Google, включая специалистов из рекламной безопасности, программных инженеров и т.п.

Первые варианты Chamois, которые обнаружили в 2016 и 2017 годах, включали четыре этапа маскировки. Версия 2018 года имела уже шесть стадий, которые были направлены на избежание разоблачения антивирусами и инструментами анализа программного кода. Вредоносное программное обеспечение могло обнаруживать, что его запустили в тестовой среде, и пыталось максимально скрыть свою вредоносную суть. Интересно, что Chamois полностью деактивируется, когда определяет, что его запустили в Китае.

Как и большинство ботнетов современности, Chamois получает удаленные команды с центрального сервера. Это позволяет миллионам зараженных гаджетов «плясать под дудку» одного руководителя и слаженно выполнять поставленные им задачи. Все версии Chamois фокусировались на показе вредоносной рекламы и рассылке платных SMS. И если об отправке SMS пользователь узнавал сразу, как опустошался его мобильный счет, показ рекламы мог продолжаться годами.

«Chamois есть хорошо созданным программным кодом. Снимаю перед ними шляпу, – говорит Стоун. – Но также страшно, что вредоносное программное обеспечение стало таким».

Хотя масштабную эпидемию Chaimos удалось сдержать, а один-два миллиона зараженных устройств в масштабах Android является незаметной цифрой, это программное обеспечение продолжает развиваться. С марта 2018 года исследователи обнаружили 14 тысяч новых образцов этого вредителя. «Они не останавливаются и не замедляются. Мы лишь пытаемся обыграть их и задержать, – говорит Стоун. – Они до сих пор пытаются стать массовыми, но мы сейчас в фазе контроля».

Два из трех отелей неумышленно допускают утечки частных данных пользователей. Информация оказывается в руках посторонних сайтов, рекламодателей и аналитиков, выяснили исследователи из антивирусной компании Symantec. Стимулом провести такой анализ стал недавний случай с гостиницей «Мариотт», которая допустила одну из крупнейших утечек данных в истории.

В своем исследовании специалисты проверили более 1500 сайтов отелей из 54 стран мира. Проверяли почти все типы заведений – от двух- до пятизвездочных.

Выяснилось, что отели раскрывают сторонним такую информацию, как полные имена гостей, их адреса e-mail, детали кредитных карт, номера паспортов. «Эта информация позволяет посторонним лицам зайти в систему отеля, просмотреть персональную информацию и даже отменить бронирование номера», – говорит главный исследователь Symantec Кандид Вуест.

Истоки основном случаются, когда отели отправляют письмо подтверждения. В нем содержится прямая ссылка на резервирование номера. Этот код, прикрепленный к ссылке, могут одновременно получить более 30 различных сервисов, включая социальные сети, поисковые двигатели, рекламодателей, аналитические сервисы и т. д.

В Symantec обратились к айтишникам отелей, предупредив их об опасности. Почти 25% вообще не ответили в течение шести недель, а другим на ответ понадобилось более 10 дней.