Doctor Web, a Russian developer of information security tools, announced the appearance of a new version of the Android.SpyEye spy, designed to intercept incoming SMS messages from users of mobile devices by cybercriminals.
The new version of the Trojan, added to virus databases as Android.SpyEye.2.origin, is distributed under the guise of the Android Security Suite Premium security application and has a corresponding icon. After starting the program, the image of the shield and a certain activation code are also displayed on the screen of the mobile device.
A few days ago, some experts already informed about this trojan, but Doctor Web specialists managed to study its features in more detail. Android.SpyEye. Such messages contain a one-time code (the so-called mTAN code), which the user must enter in a special form to confirm the execution of the money transaction, the company said.
The Trojan monitors several system events: SMS_RECEIVED (receiving a new SMS message), NEW_OUTGOING_CALL (outgoing call from a mobile device) and BOOT_COMPLETED (loading of the operating system).
Cybercriminals also have the ability to control the trojan remotely in a certain way. When a new message arrives, Android.SpyEye.2.origin checks to see if the text contains a command intended for it. If so, the malware executes it, and the message itself deletes.
As Doctor Web specialists managed to find out, attackers can use several functions: activation of the operating mode, in which the Trojan sends all newly incoming SMS to the specified number, while the target number is indicated in the command message; deactivation of this mode; command to remove the trojan. If the control command is not included in the incoming message, information about it is added to a special database.
Upon detection of an outgoing call, as well as after loading the operating system, the trojan waits 180 seconds, after which it places information about the last incoming SMS message in the same database. If the addition of this information to the database was done earlier, then the available data is uploaded to the attacker server.
It should also be noted that after processing the incoming SMS, the Trojan sends information on the mobile phone number and the identifier of the infected device to the server belonging to the attackers. Thus, in addition to information of direct financial value (mTAN codes), other important data, for example, part of the victim’s personal correspondence, may fall into the hands of attackers.
https://myphone.mirtesen.ru/blog/4334508 ... 3345083881
The new version of the Trojan, added to virus databases as Android.SpyEye.2.origin, is distributed under the guise of the Android Security Suite Premium security application and has a corresponding icon. After starting the program, the image of the shield and a certain activation code are also displayed on the screen of the mobile device.
A few days ago, some experts already informed about this trojan, but Doctor Web specialists managed to study its features in more detail. Android.SpyEye. Such messages contain a one-time code (the so-called mTAN code), which the user must enter in a special form to confirm the execution of the money transaction, the company said.
The Trojan monitors several system events: SMS_RECEIVED (receiving a new SMS message), NEW_OUTGOING_CALL (outgoing call from a mobile device) and BOOT_COMPLETED (loading of the operating system).
Cybercriminals also have the ability to control the trojan remotely in a certain way. When a new message arrives, Android.SpyEye.2.origin checks to see if the text contains a command intended for it. If so, the malware executes it, and the message itself deletes.
As Doctor Web specialists managed to find out, attackers can use several functions: activation of the operating mode, in which the Trojan sends all newly incoming SMS to the specified number, while the target number is indicated in the command message; deactivation of this mode; command to remove the trojan. If the control command is not included in the incoming message, information about it is added to a special database.
Upon detection of an outgoing call, as well as after loading the operating system, the trojan waits 180 seconds, after which it places information about the last incoming SMS message in the same database. If the addition of this information to the database was done earlier, then the available data is uploaded to the attacker server.
It should also be noted that after processing the incoming SMS, the Trojan sends information on the mobile phone number and the identifier of the infected device to the server belonging to the attackers. Thus, in addition to information of direct financial value (mTAN codes), other important data, for example, part of the victim’s personal correspondence, may fall into the hands of attackers.
https://myphone.mirtesen.ru/blog/4334508 ... 3345083881
Original message
Компания «Доктор Веб» — российский разработчик средств информационной безопасности — сообщил о появлении новой версии шпиона Android.SpyEye, предназначенного для перехвата злоумышленниками входящих SMS-сообщений пользователей мобильных устройств.
Новая версия трояна, добавленная в вирусные базы как Android.SpyEye.2.origin, распространяется под видом защитного приложения Android Security Suite Premium и имеет соответствующую иконку. После запуска программы на экране мобильного устройства также отображается образ щита и некий код активации.
Несколько дней назад некоторые эксперты уже информировали об этом трояне, но специалистам «Доктор Веб» удалось более детально изучить его особенности. Android.SpyEye.2.origin является представителем троянов-шпионов, главная цель которых — получить доступ к SMS-сообщениям, поступающим на мобильный номер пользователя от банковских систем при выполнении ряда финансовых операций. В таких сообщениях содержится одноразовый код (так называемый mTAN-код), который пользователь должен ввести в специальную форму, чтобы подтвердить выполнение денежной транзакции, говорится в сообщении компании.
Троян отслеживает несколько системных событий: SMS_RECEIVED (получение нового SMS-сообщения), NEW_OUTGOING_CALL (исходящий с мобильного устройства звонок) и BOOT_COMPLETED (загрузка операционной системы).
Киберпреступники также имеют возможность определенным образом контролировать трояна удаленно. При поступлении нового сообщения Android.SpyEye.2.origin проверяет, содержится ли в тексте предназначенная для него команда. Если это так, вредоносная программа выполняет ее, а само сообщение удаляет.
Как удалось выяснить специалистам «Доктор Веб», злоумышленники могут задействовать несколько функций: активацию режима работы, при котором троян отправляет все вновь поступающие SMS на заданный номер, при этом целевой номер указывается в командном сообщении; деактивацию этого режима; команду на удаление трояна. Если управляющая команда во входящем сообщении отсутствует, информация о нем добавляется в специальную базу данных.
При обнаружении исходящего вызова, а также после загрузки операционной системы троян ждет 180 секунд, после чего помещает в ту же базу данных сведения о последнем входящем SMS-сообщении. Если же добавление этих сведений в базу было сделано ранее, то имеющиеся данные загружаются на сервер злоумышленников.
Следует также отметить, что после обработки поступающего SMS троян отправляет на принадлежащий злоумышленникам сервер информацию о номере мобильного телефона и идентификатор инфицированного устройства. Таким образом, помимо сведений, представляющих непосредственную финансовую ценность (mTAN-коды), в руки злоумышленников могут попасть и другие важные данные, например часть личной переписки жертвы.
https://myphone.mirtesen.ru/blog/4334508 ... 3345083881
Новая версия трояна, добавленная в вирусные базы как Android.SpyEye.2.origin, распространяется под видом защитного приложения Android Security Suite Premium и имеет соответствующую иконку. После запуска программы на экране мобильного устройства также отображается образ щита и некий код активации.
Несколько дней назад некоторые эксперты уже информировали об этом трояне, но специалистам «Доктор Веб» удалось более детально изучить его особенности. Android.SpyEye.2.origin является представителем троянов-шпионов, главная цель которых — получить доступ к SMS-сообщениям, поступающим на мобильный номер пользователя от банковских систем при выполнении ряда финансовых операций. В таких сообщениях содержится одноразовый код (так называемый mTAN-код), который пользователь должен ввести в специальную форму, чтобы подтвердить выполнение денежной транзакции, говорится в сообщении компании.
Троян отслеживает несколько системных событий: SMS_RECEIVED (получение нового SMS-сообщения), NEW_OUTGOING_CALL (исходящий с мобильного устройства звонок) и BOOT_COMPLETED (загрузка операционной системы).
Киберпреступники также имеют возможность определенным образом контролировать трояна удаленно. При поступлении нового сообщения Android.SpyEye.2.origin проверяет, содержится ли в тексте предназначенная для него команда. Если это так, вредоносная программа выполняет ее, а само сообщение удаляет.
Как удалось выяснить специалистам «Доктор Веб», злоумышленники могут задействовать несколько функций: активацию режима работы, при котором троян отправляет все вновь поступающие SMS на заданный номер, при этом целевой номер указывается в командном сообщении; деактивацию этого режима; команду на удаление трояна. Если управляющая команда во входящем сообщении отсутствует, информация о нем добавляется в специальную базу данных.
При обнаружении исходящего вызова, а также после загрузки операционной системы троян ждет 180 секунд, после чего помещает в ту же базу данных сведения о последнем входящем SMS-сообщении. Если же добавление этих сведений в базу было сделано ранее, то имеющиеся данные загружаются на сервер злоумышленников.
Следует также отметить, что после обработки поступающего SMS троян отправляет на принадлежащий злоумышленникам сервер информацию о номере мобильного телефона и идентификатор инфицированного устройства. Таким образом, помимо сведений, представляющих непосредственную финансовую ценность (mTAN-коды), в руки злоумышленников могут попасть и другие важные данные, например часть личной переписки жертвы.
https://myphone.mirtesen.ru/blog/4334508 ... 3345083881
: P 
