Компания "Доктор Веб" уже не раз сообщала о появлении различных Android-троянцев, выполняющих несанкционированную загрузку приложений на инфицированных ими мобильных устройствах. Подобная незаконная деятельность позволяет киберпреступникам не только успешно распространять свои вредоносные разработки, но и извлекать прибыль от установки легитимных программ, получая плату за каждую их инсталляцию. Обнаруженные специалистами компании "Доктор Веб" новые вредоносные приложения распространяются при помощи дроппера, внесенного в вирусную базу под именем Android.MulDrop.18.origin.

При запуске данный троянец с использованием специальной библиотеки выполняет расшифровку двух содержащихся в его ресурсах apk-пакетов, после чего при помощи метода DexClassLoader (т. е. без участия пользователя) загружает в оперативную память размещенные в них исполняемые dex-файлы, детектируемые антивирусом Dr.Web как Android.DownLoader.57.origin и Android.DownLoader.60.origin. В случае успешной активации эти вредоносные программы производят подключение к удаленным серверам, откуда получают список приложений, которые требуется загрузить на мобильное устройство. При этом через определенные промежутки времени в ответ на поступивший запрос управляющие центры могут предоставить к загрузке различные файлы. Среди них вирусными аналитиками компании были идентифицированы как уже известные, так и новые вредоносные программы, принадлежащие к нескольким семействам, например, троянцы Android.SmsSend и Android.Backdoor.

Таким образом, злоумышленники могут осуществить самые разнообразные сценарии атак на пользователей Android-устройств, начиная с обычных SMS-троянцев и заканчивая сложными троянцами-шпионами. Кроме того, еще одним потенциальным методом использования данных вредоносных загрузчиков является распространение легитимных приложений и игр, за установку которых предприимчивые мошенники будут получать финансовое вознаграждение. Стоит отметить, что при попытке установки троянцами загруженных ими программ пользователи должны будут подтвердить данное действие, однако, существует вероятность того, что некоторые из них просто не придадут этому большого значения и согласятся на инсталляцию, отмечают эксперты.

На данный момент специалистам компании "Доктор Веб" также известно о второй модификации дроппера Android.MulDrop.18.origin, содержащей, в отличие от первой, незашифрованные версии троянцев-загрузчиков, внесенных в вирусную базу как Android.DownLoader.59.origin и Android.DownLoader.61.origin. Механизм их связи с удаленным сервером несколько отличается от того, что реализован у вредоносных программ Android.DownLoader.57.origin и Android.DownLoader.60.origin, однако конечная цель их работы неизменна и заключается в загрузке и установке прочих Android-приложений.