Введение

Со времени написания первых двух статей цикла «Мобильная вирусология» прошло почти три года. Такой большой интервал между публикациями был вызван практически полной остановкой эволюции в мире мобильных угроз.

За первые два года существования мобильных угроз (в 2004-2006 годах) произошел их стремительный рост, приведший к появлению целого спектра вредоносных поведений для мобильных телефонов, практически идентичного компьютерному: вирусы, черви, троянские программы, в том числе шпионы, бэкдоры, рекламные программы.

Технологическая база для массированной атаки на пользователей смартфонов была создана. Однако такой атаки не произошло. Вызвано это было стремительным изменением ситуации на рынке мобильных устройств. Два года назад ситуация характеризовалась так: есть абсолютный лидер — платформа Symbian, и есть все остальные. Сохранись такое положение дел до сих пор, мы бы имели дело с массой вредоносных программ для Symbian-смартфонов. Но все изменилось. Производители телефонов и операционных систем смогли фактически сместить Symbian (и Nokia) с ее лидерских позиций. На данный момент у Nokia около 45% рынка смартфонов.

Первый вклад в эту борьбу был внесен Microsoft и ее мобильной платформой Windows Mobile. Начало было положено очень удачной версией Windows Mobile 5, которую поддержало много крупных производителей телефонов, затем была шестая версия, публикация исходных кодов ОС. Как следствие, сейчас Windows Mobile занимает около 15% мирового рынка смартфонов, а в некоторых странах мира — лидирующие позиции. Windows Mobile была лицензирована у Microsoft четырьмя крупнейшими производителями телефонов (кроме лидера — Nokia), и в настоящий момент объем продаж таких устройств может составлять более 20 млн трубок в год.

Весьма значительно усилились позиции и компании RIM, чьи устройства BlackBerry на собственной операционной системе очень популярны в США. Напомним, что для данной платформы до сих пор не было обнаружено ни одной вредоносной программы, за исключением концептуального бэкдора BBproxy, созданного исследователями уязвимостей.

Но самым ярким и заметным событием последних лет стал выход на рынок устройства iPhone от компании Apple. Базирующийся на собственной разработке — мобильной версии Mac OS X, телефон стремительно стал одним из самых продаваемых коммуникаторов в мире. Заявленная Apple цель — продать 10 млн устройств к концу 2008 года — была выполнена. На данный момент продано уже более 21 млн iPhone всех моделей, а если к этому числу прибавить еще iPod Touch («iPhone» без телефона), то общее количество проданных устройств составит 37 млн.

Добавьте сюда уже состоявшийся выход первого телефона на платформе Android, разработанной Google, с массой возможностей для создания приложений и использования сервисов Google — и вы получите картину полной неопределенности в том, какую платформу рассматривать в качестве «базовой».

Ситуация в корне отличается от персональных компьютеров, где определенно доминирует Windows. А именно популярность операционной системы является крайне важным фактором для вирусописателей при выборе объекта атаки.

Столкнувшись с проблемой отсутствия лидера на рынке мобильных ОС и, как следствие, с невозможностью одновременной атаки на большинство пользователей, вирусописателям пришлось, во-первых, значительно сократить разработки в направлении какой-то конкретной платформы и, во-вторых, попробовать решить проблему «кроссплатформенности» своих творений.

О том, что из этого у них получилось, мы и поговорим ниже.

Семейства и модификации. Статистика и изменения

Каталог вредоносных программ для мобильных телефонов, приведенный в первой части «Мобильной вирусологии», был датирован 30 августа 2006 года и насчитывал 5 платформ, подверженных заражению. За прошедшие три года к числу платформ, атакованных мобильными вирусами, добавилась всего одна — ею стала платформа S/EGOLD (SGold, по классификации «Лаборатории Касперского»), на которой работают телефоны Siemens. Платформа является открытой, что позволяет пользователям устанавливать на телефон собственные приложения.

Эти данные можно представить в виде диаграммы:

Распределение модификаций детектируемых объектов по платформам

Стоит признать, что вирусописатели смогли найти решение проблемы выбора целевой платформы, о которой мы говорили выше. Произошло это в ходе попыток реализации «кроссплатформенности». Отказавшись от создания приложений под конкретную платформу, они обратили свое внимание на Java 2 Micro Edition.

Дело в том, что практически все современные телефоны, не говоря уж о смартфонах, имеют поддержку Java и позволяют запускать java-приложения, которые могут быть загружены из интернета. Освоив создание вредоносных Java-приложений, вирусописатели не только вырвались за пределы какой-то одной платформы, но и смогли значительно увеличить «зону поражения» — ведь под угрозой оказались не только пользователи смартфонов, но и практически каждый владелец обычного мобильного телефона.

В конце августа 2006 года было 31 семейство и 170 модификаций. На середину августа этого года мы зафиксировали 106 семейств, 514 модификаций детектируемых объектов для мобильных устройств. Таким образом, за три года число детектируемых объектов для мобильных устройств выросло на 202%. Число семейств при этом выросло на 235%.

Рост числа известных модификаций (2004-2009)

Динамика появления новых модификаций по месяцам (2004-2009)

Детектируемые объекты для мобильных устройств, появившиеся в период с 09.2006 по 08.2009, по семействам:

Итого: 75 новых семейств

С 2006 по 2009 год произошло утроение числа вредоносных программ для мобильных устройств. Это означает, что темпы роста, показанные в период «первой стадии» (2004-2006 гг.), сохранились.

Что нового?

Составленный нами три года назад список того, что умеют делать мобильные вредоносные программы, выглядел так:

• Распространение через Bluetooth, MMS
• Отправка SMS
• Заражение файлов
• Возможность удаленно управлять смартфоном
• Изменение или подмена иконок, системных приложений
• Установка «ложных» или некорректных шрифтов, приложений
• Борьба с антивирусами
• Установка других вредоносных программ
• Блокирование работы карт памяти
• Кража информации

За прошедшие три года у мобильного вредоносного ПО появилось несколько новых технологий и приемов:

• Распространение на сменных накопителях (флэш-картах)
• Порча пользовательских данных
• Отключение систем защиты, встроенных в ОС
• Загрузка других файлов из интернета
• Звонки на платные номера
• Полиморфизм