07.10.2014

Komputerom od początku istnienia towarzyszyły szkodliwe programy. Początkowo wirusy powstawały głównie dla zabawy czy chęci „zabłyśnięcia” umiejętnościami programowania. Z czasem jednak ich twórców coraz bardziej interesował nielegalny zarobek. Proporcje odwróciły się do tego stopnia, że dziś złośliwe programy przeznaczone do innych celów, niż osiąganie korzyści finansowych, to prawdziwa rzadkość. Tym bardziej szokujące jest ostatnie odkrycie ekspertów bezpieczeństwa z firmy Doctor Web, jakim jest wirus Android.Elite.1.origin.

Zarejestrowany w bazie wirusów programu Dr.Web, Android.Elite.1.origin należy do rzadkiej klasy złośliwych programów, określanych jako „vandal programs”, tworzonych nie dla zysku, lecz po to, aby np. zademonstrować umiejętności programowania jego autorów, ich opinie na dany temat, czy też po prostu dla żartu. Programy tego typu często służą do wyświetlania różnych komunikatów, uszkadzania plików i zakłócania normalnej pracy zaatakowanego systemu. W ten właśnie sposób działa nowy Trojan skierowany przeciwko urządzeniom z systemem Android, który podszywa się pod popularne aplikacje.

Po uruchomieniu, Trojan próbuje nakłonić użytkownika do udzielenia mu dostępu do funkcji administracyjnych urządzenia mobilnego, które są rzekomo potrzebne, aby prawidłowo zakończyć instalację aplikacji. Jeśli proces ten się powiedzie, program natychmiast rozpoczyna formatowanie karty SD i usuwa wszystkie przechowywane na niej dane.

Następnie Trojan czeka już tylko na uruchomienie wspomnianych popularnych aplikacji. Za każdym razem, gdy tylko użytkownik próbuje uruchomić wersje mobilne programów takich jak Facebook, WhatsApp, czy Hangouts lub nawet standardowe aplikacje do obsługi SMS-ów, Android.Elite.1.origin blokuje ich aktywne okna poprzez wyświetlenie wiadomości „Podporządkuj się albo zostań zhakowany” (ang. „OBEY or Be HACKED”). Wirus nie blokuje ani nie zakłóca przy tym działania żadnych innych aplikacji ani też systemu operacyjnego.

Aby utrudnić korzystanie z narzędzi służących do komunikacji, Trojan ukrywa wszystkie powiadomienia o przychodzących wiadomościach SMS. Otrzymywane wiadomości są zapisywane w folderze Skrzynka odbiorcza, jednak nie można ich odczytać, ponieważ dostęp do komunikatora jest zablokowany.

Oprócz usuwania danych z kart SD i blokowania komunikatorów, Android.Elite.1.origin wysyła także co pięć sekund krótkie wiadomości do wszystkich kontaktów znajdujących się w książce adresowej. Tekst wiadomości brzmi:

„HEJ!!! [nazwa kontaktu] Elite atakuje. Podporządkuj się albo zostań zhakowany.”

Podobne wiadomości są wysyłane jako odpowiedź na wszystkie przychodzące wiadomości SMS z telefonów komórkowych:

„Elite atakuje. Podporządkuj się albo zostań zhakowany.”

Użytkownicy nie powinni pobierać aplikacji z podejrzanych źródeł. Niepożądane jest również przyznawanie uprawnień administratora takim aplikacjom, ponieważ niesie to za sobą ryzyko utraty bądź uszkodzenia danych.

Trojan Android.Elite.1.origin został dodany do bazy wirusów programu Dr.Web, tak więc urządzenia z systemem Android, chronione programami Dr.Web oraz Dr.Web Light nie są zagrożone atakami tego wirusa.