Мобильник: любовь или опасная связь? Правда, которой не расскажут в салонах мобильной связи

Автор мобильного червя Cabir — некто под псевдонимом Valiez, являющийся членом международной группировки 29А, которая специализируется на создании концептуальных программ-разрушителей. Ранее она прославилась такими компьютерными вирусами, как Сар (первый макровирус, вызвавший глобальную эпидемию), Stream (вирус для дополнительных потоков NTFS), Donut (первый вирус для платформы. NET), Rugrat (первый вирус для Win 64) и др. Главной жертвой программы являются аппараты под управлением Symbian OS, на которой, как известно, работают смартфоны и коммуникаторы Nokia, Sony Ericsson и Siemens. Но не исключено, что Cabir может обосноваться и в моделях других производителей.

Способ борьбы с Cabir очевиден — не устанавливайте на свой смартфон непонятно какую программу, пришедшую непонятно от кого.

Commwarrior

Появился в первой половине 2005 года и способен атаковать аппараты под управлением Symbian Series 60, то есть главным образом смартфоны Nokia и ее лицензиатов. Предположительно разработан российскими хакерами, так как в своем коде имеет фразу «Отморозкам — нет!».

При заражении предлагает инсталлировать себя, маскируясь под какую-нибудь программу: утилиту-менеджера виртуального рабочего стола, программу для просмотра порнокартинок и даже антивирус. Распространяется по Bluetooth или MMS. Первый механизм распространения, реализованный в Commwarrior, существенно отличается от такового у Cabir. Cabir заражает лишь один телефон из всех доступных, и переключение на другое устройство происходит, только когда заражаемый телефон покинет территорию видимости или заблокируется владельцем.

Commwarrior стремится заразить все телефоны, находящиеся в зоне досягаемости, так что распространяется он гораздо быстрее. Второй способ размножения заключается в рассылке своей копии всем абонентам из телефонной книги посредством MMS. Страшно подумать, на какую сумму можно залететь, если в списке контактов находится, скажем, сотня номеров.

Duts

Первенец среди вирусов для смартфонов и КПК, построенных на платформах Windows Mobile. Был обнаружен «Лабораторией Касперского» в октябре 2004 года. Вирус в виде файла размером 1520 байт может попасть на мобильное устройство по любым каналам связи с внешним миром: электронной почте, Интернету, при синхронизации с ПК, через сменные карты памяти или по беспроводной связи Bluetooth. Проникнув в систему, Duts выводит на экран следующий текст: «Dear User, am I allowed to spread?» («Дорогой пользователь, вы позволите мне размножиться?») Те болезненно любопытные представители человечества, у которых хватит ума ответить «да» на этот запрос, установят вирус на свой мобильный телефон. При таком раскладе Duts внедряется в подходящие по формату и размеру (более 4 Кб) исполняемые файлы в корневой директории устройства. В процессе заражения вирус дописывает себя в конец целевого файла, используя одно из его неупотребительных полей для собственной пометки во избежание повторного инфицирования. Каких-либо деструктивных функций вирус не имеет. Происхождение у Duts то же, что и у Cabir, — его написал некто Ratter из уже известной нам группы 29А.

Lasco

Типичный червь, поражающий сотовые телефоны, работающие под управлением Symbian Series 60. Обнаружен антивирусной компанией F-Secure в январе 2005 года. Распространяется двумя способами: посредством уже опробованной для этих целей Bluetooth-связи и через исполняемые файлы. Заметим, что второй способ в мобильных телефонах встречается впервые: происходит инфицирование установленных на телефоне SIS– файлов, добавление в их конец строчки velasco.sis (размер порядка 12 Кб) и модификация заголовков. Установка зараженного SIS– приложения приведет к его автоматическому запуску, однако, как и прежде, у пользователя будет запрошено подтверждение на установку вируса. Если червь получит разрешение, то его исполняемые файлы сначала будут скопированы в одни папки, а после запуска паразита скопируются и в другие. Такие сложные манипуляции позволяют Lasco заражать телефон, даже если программа устанавливается на съемную карту памяти. Кроме того, благодаря этому трюку пользователь не может уничтожить вирус, выполнив uninstall SIS– файла зараженной программы. Основное действие Lasco — саморазмножение. Автор вируса — бразильский программист Маркос Веласко.

Mabir

По сути, это просто слегка доработанная версия червя Cabir, которая, в отличие от него, может распространяться еще и в MMS– сообщениях. Новая функция реализована интересным образом: червь рассылает себя не по всем номерам из телефонной книги, а только в ответ на входящее SMS- или MMS– сообщение, причем ответное послание не содержит ничего, кроме вредоносного файла info.sis. Если телефон вашего знакомого заражен вирусом, то, отправив ему любое сообщение, в ответ вы получите подарочек в виде паразита Mabir.

Dampig

Первое упоминание о нем датируется январем 2005 года. Распространяется в виде файла с расширением. SIS, маскируясь под «кряк» приложения FSCaller (программное обеспечение компании Symbianware, из чего можно сделать вывод о списке потенциальных жертв). При попадании на телефон блокирует некоторые системные приложения и модули файлового менеджера, а также заражает устройство несколькими вариантами червя Cabir. Удалить его самостоятельно не получится, даже если вы знаете, какой именно файл инфицирован. Дело в том, что сразу после попадания на телефон жертвы Dampig изменяет информацию в системной программе установки, благодаря чему и не может быть деинсталлирован вручную.

Doom boot

Троян замаскирован под файл с расширением .SIS, якобы содержащий взломанную версию игры Doom 2 для смартфонов под управлением Symbian. Появился в начале июля сего года. Распространяться самостоятельно не способен и может попасть на мобильное устройство только в том случае, если пользователь загрузит его через Интернет. После запуска записывает в память смартфона поврежденные системные файлы и устанавливает другой вирус — Commwarrior.

Червь Commwarrior в свою очередь пытается разослать собственные копии в теле сообщений MMS, а также через беспроводную связь Bluetooth, что приводит к быстрому разряду аккумуляторов. Следует отметить, что Doomboot не создает новые иконки и скрывает свое имя в списке работающих процессов, из-за чего пользователь может сразу и не заметить его присутствия. Однако перезагрузка инфицированного аппарата может привести к полной утере персональной информации, в том числе содержимого адресной книги и мультимедийных файлов.

Чтобы избавиться отэтой вредоносной программы, необходимо вручную найти и удалить файл Doom_2_wad_cracked_by_DFT_ S60_vl.0.sis, а затем за грузить антивирусное программное обеспечение для деинсталляции Commwarrior. Причем сделать это нужно как можно быстрее, поскольку после разрядки аккумулятора телефон может больше не запуститься.

В результате владелец должен будет произвести форматирование, лишившись при этом всех своих персональных данных.

Drever

Обнаружен в конце марта 2005 года, и снова угрозе оказалась подвержена платформа Symbian. При заражении начинает отсылать на адрес компании F-Secure сообщения следующего содержания: «F-Secure must die!!! Please, don’t make new antiviruses for my viruses and I stop make viruses for your antiviruses; My target is Simworks» («F-Secure должна умереть!!! Пожалуйста, не делайте новые антивирусы против моих вирусов, и тогда я перестану писать вирусы против ваших антивирусов; Моя цель — это Simworks»). То есть фактически Drever опасен лишь потерей некоторой суммы денег, снятых со счета абонента за ненужные сообщения. Проникает на телефон под видом обновленной версии антивируса. Устойчив ко всем распространенным системам защиты — от F-Secure и SimWorks до «Касперского» включительно. В последних релизах мобильных антивирусов эта дыра в безопасности уже устранена.