Исследователи компании Check Point обнаружили новое семейство вредоносного ПО для Android.
Троян, получивший название DressCode, может красть информацию с защищенных серверов и служить в качестве прокси для атак внутри корпоративных сетей. Вредоносное ПО распространяется в составе игр-переодевалок для Android.
Эксперты обнаружили свыше 40 таких приложений в Google Play Store и более 400 подобных программ в сторонних магазинах приложений. Согласно статистике Google Play Store, содержащие DressCode приложения были загружены от 500 тыс. до 2 млн раз. В настоящее время вредоносные программы уже удалены из online-каталога. Троян способен перехватывать контроль над инфицированным устройством и подключать его к ботнету.
По сути, вредонос действует в качестве маяка, постоянно поддерживающего связь с C&C-сервером злоумышленников. Как только оператор ботнета решает, какие вредоносные действия нужно выполнить, он просто отправляет соответствующий код на нужные устройства.
Оказавшись на устройстве, DressCode немедленно связывается с управляющим сервером. После того, как связь будет установлена, C&C-сервер переводит троян в «спящий» режим до тех пор, пока не возникнет необходимость в использовании инфицированного устройства. При активации вредоносного ПО зараженный гаджет превращается в SOCKS-прокси, который может использоваться для перенаправления трафика.
Таким образом злоумышленник может получить доступ даже к защищенным межсетевым экраном сетям в корпоративной инфраструктуре. Отправив вредоносную команду на инфицированное устройство, атакующий может заставить его сканировать сеть на наличие полезной информации. Тем не менее, по словам экспертов Check Point, это наихудший сценарий. Сейчас злоумышленники используют ботнет для распространения нежелательной рекламы и накрутки кликов в целях получения личной выгоды.
