Android pod ostrzałem! Jak sprawdzić, czy twój telefon nie wykopuje bitcoinów?

Firma F-Secure w zeszłym tygodniu opublikowała raport bezpieczeństwa dotyczący urządzeń mobilnych w pierwszym kwartale tego roku. Użytkownicy smartfonów z systemem Google'a powinni się nim zainteresować. Okazuje się bowiem, że aż 99% nowych zagrożeń mobilnych dotyczy Androida: z 277 nowych rodzin i wariantów złośliwego oprogramowania aż 275 jest wymierzone w zielonego robocika (po 1 zagrożeniu na iOS i Symbiana). W analogicznym okresie zeszłego roku Androida dotyczyło 149 nowych wirusów, więc w ciągu roku jest to ogromny przyrost.

Liczba nowych wirusów to nie wszystko. Okazuje się bowiem, że powstaje wiele nowych typów złośliwego oprogramowania. Cyberprzestępcy coraz częściej na urządzenia mobilne przenoszą rozwiązania znane do tej pory z komputerów. Pojawił się już pierwszy bootkit, czyli wirus działający podczas uruchamiania systemu (bootloadera, wczytywania oprogramowania). Jest to o tyle uciążliwy malware, że sposób, w jaki działa, utrudnia jego proste usunięcie.

Powstał również pierwszy trojan, który wykorzystuje anonimową sieć Tor, czy trojan bankowy na Windowsa, który może przenosić się również na telefony z Androidem. Dostępny jest już nawet malware używany do wydobywania kryptowalut (potocznie określanego też jako "kopanie" czy "wykopywanie"), w tym popularnego bitcoina. Mikko Hypponen podkreślił, że ten ostatni typ może być szczególnie groźny.

Mikko Hypponen:

Wykryte przez nas ostatnio szkodliwe oprogramowanie pokazuje, w jakim kierunku zmierzają twórcy malware’u. Jest bardzo prawdopodobne, że takich złośliwych programów pojawi się więcej w najbliższych miesiącach. Przykładowo cyberprzestępcy będą wykorzystywać coraz większe moce obliczeniowe smartfonów w celu wydobywania kryptowaluty.

Pod względem liczby ataków królują Chiny, ale nie brakuje ich także na Starym Kontynencie. Polska nie jest tak zagrożona jak Wielka Brytania czy Niemcy: odpowiednio 15-20 i 5-10 ataków na 10 tys. użytkowników przy 2 atakach na 10 tys. użytkowników u nas. Niemniej jednak ryzyko zawsze istnieje.

Dotyczy to zwłaszcza malware'u do kopania wirtualnych walut. O nowych zagrożeniach postanowiłem porozmawiać z Seanem Sullivanem, doradcą ds. bezpieczeństwa F-Secure.

Mateusz Żołyniak: Czym jest botnet? Jak Wy, eksperci, definiujecie tego typu zagrożenia?

Sean Sullivan: Botnet to grupa zainfekowanych komputerów, które bez wiedzy ich właścicieli pozostają pod kontrolą twórcy tegoż botnetu. Są one używane do operacji wymagających dużych mocy obliczeniowych, np. ataków DDoS, wysyłania spamu czy wydobywania kryptowaluty, choćby bitcoina.

M.Ż.: Temat botnetów wykorzystujących komputery do produkcji wirtualnej waluty powraca co jakiś czas. W kontekście smartfonów to chyba jednak nowość, prawda?

S.S.: Tak, zdecydowanie. Do pierwszego kwartału tego roku nie zaobserwowaliśmy żadnych botnetów na smartfony czy inne urządzenia przenośne. W marcu tego roku pojawił się jednak robak CoinMiner, który zainstalowany na urządzaniach z Androidem wydobywał kryptowaluty, takie jak bitcoin, litecoin czy dogecoin. Można powiedzieć, że to przełom w naszej branży, który pokazuje jednocześnie, że cyberprzestępcy przenoszą działania charakterystyczne dla desktopów na tablety i smartfony.

M.Ż.: Jakie zagrożenia do tej pory udało się zidentyfikować?

S.S.: Zagrożeń wymierzonych w urządzenia mobilne jest sporo. Różni je mechanizm działania, a wspólną cechą większości z nich jest motywacja ich twórców: zysk. Są wirusy, które w ukryciu wysyłają wiadomości SMS na numery premium. Są też takie, które przechwytują wiadomości potwierdzające operacje bankowości internetowej. Istnieją również złośliwe programy, które w tle łączą się określonymi witrynami, aby podnosić statystyki wyświetleń. Oczywiście, dostępne są także aplikacje, które w modułach reklamowych innych programów wyświetlają określoną reklamę, a nie tę ustawioną przez wydawcę. To tylko kilka przykładów, więcej można znaleźć w naszych raportach zagrożeń, które regularnie wydajemy.

M.Ż.: W większości są to zapewne zupełnie nowe zagrożenia, więc nie wszystkie mogą się znajdować w bazie programów antywirusowych. Jak użytkownik może sam sprawdzić, czy jego smartfon nie jest częścią botnetu?

S.S.: Aby mieć pewność, że na naszym smartfonie czy tablecie nie zostanie zainstalowane podejrzane oprogramowanie, należy przestrzegać kilku prostych zasad: nie przekazywać sprzętu osobom trzecim, zainstalować program antywirusowy, sprawdzać, jakich uprawnień żądają aplikacje, i nie pobierać programów z niezaufanych źródeł. W przypadku Androida chodzi oczywiście o wszystkie serwisy poza Google Play Store. Programy antywirusowe nie opierają się tylko na porównywaniu sygnatur wirusów, często też emulują działanie programów, aby sprawdzić, jakie operacje są wykonywane. Dlatego zawsze należy skanować pobrane pliki przed ich instalacją. Sama wymiana sygnatur wirusów odbywa się na bieżąco, więc jedynie nieznane do tej pory zagrożenia mogą przedostać się na urządzenie.

Samodzielnie użytkownik raczej ma małe szanse na zweryfikowanie, czy jego telefon jest częścią botnetu. Warto jednak zwrócić uwagę na takie elementy, jak podniesiona temperatura urządzenia, nawet gdy teoretycznie jest w spoczynku, wolniejsze działanie aplikacji czy szybsze zużycie baterii. Twórcy botnetów używają przede wszystkim mocy obliczeniowej zainfekowanych urządzeń, więc na pewno będzie widoczne zwiększenie wykorzystania zasobów sprzętowych. To mogą, ale nie muszą być oznaki, że dzieje się coś niedobrego.

M.Ż.: Czy można wykopywać bitcoina? Jakie inne waluty pojawiają się w kontekście mobilnych botnetów?

S.S.: Za pomocą urządzeń mobilnych można wydobywać bitcoina, ale jest to mało opłacalne, gdyż urządzenia te nie mają dużych mocy obliczeniowych. Działania cyberprzestępców są racjonalne i polegają na maksymalizacji zysków. Łatwiej jest zarządzać botnetem składającym się z komputerów wyposażonych w mocne procesory, które są stale podłączone do sieci, niż rozproszoną siecią smartfonów o dość przeciętnych możliwościach obliczania operacji, łączących się w różnych sieciach o różnej przepustowości. W kontekście mobilnych botnetów mówi się nie tylko o bitcoinie, ale też o walutach litecoin i dogecoin, które są prostsze w wydobyciu i wymagają mniejszych zasobów sprzętowych.