Специалисты компании TippingPoint в качестве эксперимента создали вредоносное мобильное приложение, замаскированное под невинную программу для прогнозов погоды. В течение короткого времени это приложение скачало около 7800 владельцев iPhone и Android-телефонов, сообщает DarkReading.
Приложение WeatherFist действительно прогнозирует погоду (для чего берёт информацию с сайта Weather Underground), но при этом втайне от пользователя собирает о нём ряд данных, включая номер телефона и его GPS-координаты, и отсылает их на сервер разработчиков.
Обе версии приложения — для iPhone и Android — распространялись не через официальные магазины Apple и Google, где программный код мог быть предварительно проверен, а при помощи сторонних сайтов. Это, в частности, означает, что WeatherFist могли скачать и установить только владельцы разлоченных "айфонов". Возможно, именно по этой причине подавляющее большинство пользователей WeatherFist (более 90%, как сообщает New Scientist) оказались владельцами Android-трубок.
Надо отметить, что WeatherFist является довольно безобидным приложением. GPS-координаты ему нужны в любом случае, поскольку с их помощью как раз и даются актуальные для пользователя метеопрогнозы. Тем не менее пользователи предоставили создателям этого приложения практически полный доступ к своим телефонам. Причём сделали это добровольно, ибо либо предварительно разлочили "айфоны", либо, в случае с Android OS, просмотрели предупреждение об опасности загрузки приложения со стороннего сайта и одобрили список прав, затребованных приложением.
Исследователи также создали более опасную версию программы — WeatherFistBadMonkey, которая, в дополнение к вышеперечисленному, умеет собирать контакты, cookie-файлы и другие критические данные, а также рассылать спам. Правда, это приложение они установили только на собственные телефоны, хотя и имели все возможности для того, чтобы раздать его юзерам.
По мнению исследователей, их эксперимент показывает, насколько легко создать мобильный ботнет, используя всего лишь метод социальной инженерии. По их данным, уже через час после появления WeatherFist на сайтах для мобильных приложений SlideME и ModMyI эту программу скачали 126 человек, а к концу первых суток их было более 1800.
Грэм Клули (Graham Cluley) из Sophos по этому поводу выразил недоумение, напоминая, что подобные эксперименты уже проводились в прошлом.
"Мне не очень понятно, зачем исследователи TippingPoint ощутили необходимость в распространении своего приложения, чтобы доказать то, что и так известно и даже наверняка было осуществлено киберпреступниками в реальной жизни", — говорит он.
Действительно, несколько месяцев назад из Android Market удалили целую серию приложений, которые подозревались в краже паролей к системам онлайн-банкинга. Что до разлоченных "айфонов", то их взламывали без всяких магазинов мобильных приложений.
(Обновлено в 22:50) Уточнённая информация "из первых рук": в блоге TippingPoint сообщается, что на данный момент было 8400 уникальных скачиваний, подавляющее большинство которых было сделано владельцами iPhone (а не "андрофонов", как сообщалось раньше).
Источник: Вебпланета
|
