Posts Tagged ‘HongTouTou’

Nine Months Of Living Dangerously

May 18, 2011 3 comments

The title of this post is not a subset of the famous Peter Weir’s MovieThe Year Of Living Dangerously“, featuring Mel Gibson and Sigourney Weaver, but rather refers to the dangerous months which the Android is living, from the second half of 2010 to this first half of 2011, which saw a dramatic increase in Android Malware.

I enjoyed in summarizing in a single picture the mobile malware which affected Google Mobile OS from August 2010 to the present day. As shown the results are not encouraging and seems to confirm, in a qualitative form, the 400% increase in mobile malware (in six months) recently stated by Juniper Networks: un the second half of 2011 we assisted mainly to variants of the first Trojan. In the first half of 2011 the landscape has become much more complicated with mobile malware tailored “for different needs”.

So far the threats are can be divided essentially into two categories:

  • Malware capable of stealing data, sending them to a remote C&C, which in a mobile platform may have worst consequences since it may send remote data to a C&C Server);
  • Malware capable of sending SMS to premium rate numbers without the user permission (and awareness).

In many cases the malware was downloaded by parallel markets (most of all from China and Russia), with often the pornography acting like a decoy for the unfortunates, hence showing the risks connected with sideloading, that is the practice to enable installation of applications downloaded from external markets.

Two examples were particularly meaningful: the example of Geinimi, which showed all the features of a Botnet. And the example of DroidDream which bypassed all the security control of Android Market and infected something between 50.000 and 200.000 users according to Symantec and were remotely removed by Google, thus prefiguring a new security model which remotely manages the security functions of endpoint (and everything suggests that this trend will soon spread to more traditional endpoints: just today I stumbled upon this really interesting article).

By the way… Just today, three German security researchers discovered a serious flaw on the ClientLogin Authentication Protocol affecting almost all the Android powered devices… Ok it is not a malware, but the security concerns for the Google Mobile Operating System are more relevant than ever…

Chronicles Of The Android

April 1, 2011 2 comments

The title of this post recalls a science fiction novel, but actually summarizes well a couple of news concerning the Android, which bounced in these days. Even if they seem apparently disjoined I decided to insert them in the same post: there is a logical link which connects the commercial success of a platform and the attention it attracts by malicious, and this seems to be the destiny of Android, to which the market share reserves a bright future, which become much less bright if one considers the information security consequences.


Part 1: Smartphone Market Share

This seems to be the right time for predictions as far as the smartphone market is concerned, that is the reason why I really was enjoyed in comparing the projections of ABI Research (released today), with the ones released from IDC a couple of days ago. The results are summarized in the following tables. Even if they are targeted at different years in the near future (respectively 2016 for ABI Research and 2015 for IDC), comparing the two reports is interesting for imaging what the future of the smartphone Operating System will be.

ABI Research IDC
Operating System 2010 2016 Operating System 2011 2015
Android 23,00% 45,00% Android 39,50% 45,40%
RIM 16,00% 14,00% RIM 14,90% 13,70%
iOS 15,00% 19,00% iOS 15,70% 15,30%
Symbian 36,00% Symbian 20,90% 0,20%
Windows Phone 7/Windows Mobile 0,60% 7,50% Windows Phone 7/Windows Mobile 5,50% 20,90%
Others 9,40% 14,50% Others 3,50% 4,60%

Often the providers of market intelligence do not agree on anything, but in this case, if there is one thing that seems to have no doubt, is the scepter of the Android, which seems to be destined, for both reports, to rule the market with nearly one half of the total smartphones shipped after 2015. The data also confirm a stable position for RIM (around 13%-14%), while do not completely agree as far as Apple is concerned, for which ABI research estimates a market share of 19% in 2016 and IDC a market share of 15% in 2015. But were the data are surprisingly different, is on the Windows Phone Market Share. According to ABI Research, Windows Phone will reach the 7% of the market (which become 7.5 adding the market share of its predecessor Windows Mobile). Unfortunately I do not think that, according to Microsoft’s hopes, the number 7 which identifies the mobile operating system series, pertains to the market share in 2016. Last and (unfortunately) least? IDC is more optimistic and foresees a bright future for Redmond in the mobile arena, with its creature ranking immediately behind the Android with the 20% of the market. Will be very amusing to see (in 5 years if we will remember) who was right.

Last and (unfortunately) least, the poor Symbian, sacrificial victim of Nokia and Microsoft agreement, which, in 5 years will remain little more than a romantic remembrance for mobile lovers, while, surprisingly, ABI research foresees a surprising 10% market share for Samsung Bada in 2016.

Part 2: Mobile Malware Market Share

Of course I am an infosec guy so I wonder if also the mobile malware will follow the same trend. This consideration arises from an interesting article I found in the Fortinet blog. Of course data must be taken with caution, but I could not help noticing that when one switches from smartphone market share to mobile malware market share, the ranking positions are reversed: over 50% of mobile malware families detected by the security firm concern Symbian, approximately 15% are Java ME midlets, while the Android approximately suffers only of the 5% of the infections. Of course, as correctly stated on the article, this does not means that Symbian is the less secure. In my opinion the bigger percentage of mobile malware is a simple consequence of the fact that Symbian is still the Operating System with the greater spread. Of course malware writers deserve bigger attention to those platforms which offer the wider attack surface (that is the wider possibility to spread infections). And in this moment, Symbian is an attractive prey from this point of view. My sixth sense (and one half as we say in Italy) says that the Android will not take a long time in order to achieve also the unenviable first position also in the mobile malware market share, not only because it is spreading at an incredible speed, but also because it is becoming an enterprise platform (so the value of the data stored are much more attractive for Cyber Crooks.

As if on purpose, today Symantec discovered yet another malware for Android (Android.Walkinwat), which, at least for this time, tries to discipline users that download files illegally from unauthorized sites. Analogously to some of its noble malware predecessors (Geinimi, HongTouTou, Android.Pjapps), the malware is hidden inside a non-existent version of a true application (in this case Walk and Text) and downloaded from parallel markets from Asia and United States, but instead of stealing private data, simply floods of SMS the contacts.

Hey, just downloaded a pirated App off the Internet, Walk and Text for Android. I am stupid and cheap, it costed only 1 buck. Don’t steal like I did.

At the hand, after sending the SMS (affecting the user’s phone bill) it warns the user with the following message.

Unfortunately downloading malware from Asian parallel market is not new, and it is not a coincidence that the same report from Fortinet indicates that most mobile malware families are implemented by Russian or Chinese coders. This is undoubtely an increasing trend, and I am afraid that Chinese coders will soon shift their Cyber Espionage Operations to mobile devices…

DroidDream: Google lo Sradica da Remoto

March 6, 2011 1 comment

Qualche giorno fa ho dedicato un post all’ultimo malware (è proprio il caso di dire da sogno) dell’Androide: il famigerato DroidDream. L’ennesima minaccia mobile per l’androide ha creato un pericoloso precedente, essendo il primo malware, a differenza dai suoi illustri predecessori (Geinimi, HongTouTou e ), ad aver fatto breccia direttamente nel market ufficiale.

Da subito si è saputo che il “Sogno d’Androide”, utilizzando l’invontolontario tramite di applicazioni lecite, è stato in grado di iniettare nei terminali infetti codice malevolo in grado di prendere la root (o meglio la radice) del dispositivo (da cui il nome di Android.Rootcager) in maniera autonoma (ovviamente senza il minimo consenso da parte dell’utente).

Ora cominciano a trapelare notizie un po’ più precise sul malware (che ne riducono in parte la pericolosità, poiché sembra che l’applicazione malevola “si limiti” a trasmettere al server remoto i soli IMEI, IMSI, modello del dispositivo e versione del SDK),  tuttavia, proprio in queste ore Google ha reso nota la propria strategia per (è proprio il caso di dire) sradicare il malware e risolvere il problema alla root radice. Il gigante di Mountain View ha deciso di premere il grilletto ed azionare, per la seconda volta nella sua storia, l’operazione di pulizia remota degli Androidi Malati. La prima volta era accaduta a giugno 2010, quando il colosso di Mountain View si rese conto che due ricercatori avevano iniettato, a scopo dimostrativo, una falsa applicazione nel Market (uno sniffer che poteva essere usato con conseguenze ben più serie).

Ovviamente questo modus operandi ha nuovamente sollevato l’annoso interrogativo se certe pratiche siano attuabili o ledano in maniera eccessiva la libertà e la privacy dell’utente. In teoria la pulizia remota rappresenta un valido strumento di sicurezza, in pratica riapre l’annosa questione della privacy e se sia lecito che un produttore, anche se animato da buone intenzioni, si spinga un po’ troppo oltre la linea rossa che separa la proprietà del terminale da parte di chi ci ha speso, nel migliore dei casi, 500 Euri). La questione è tanto più spinosa quanto più si considera il fatto che certe mosse risolutiive (a mali estremi estremi rimedi) sono causate da una filiera di controlli nel market non rigorosa come quella di Cupertino (e verrebbe da dire anche da un OS non proprio in forma smagliante in questo periodo).

D’altronde i Termini di Servizio dell’Android Market parlano (poco) chiaro. L’articolo 2.4 dei sopra citati termini di servizio recita infatti:

Google può venire a conoscenza che un Prodotto viola i termini del Contratto di Distribuzione con gli Sviluppatori per Android Market o le leggi applicabili e/o le regole di Google. In tal caso, Google potrà disabilitare l’accesso a tali Prodotti a propria discrezione e senza preavviso.

A questo punto i possessori di Android (tra cui il sottoscritto) si sentiranno un po’ tra l’incudine e il martello: effettivamente non so se è preferibile la consapevolezza che il proprio sistema operativo del cuore ultimamente venga preso un po’ troppo di mira dai Cybercriminali (oggi per gioco, ma domani?),  oppure il fatto che, in caso di contagio da malware, si può sempre sperare che il Grande Fratello effettui un accesso remoto al nostro terminale, rigorosamente non richiesto, per ristabilire l’ordine delle applicazioni.

Si dirà che queste cose capitano anche ai possessori della Mela (con tanto di minacce di class action). Corretto, ma almeno in questo momento il cuore di Mela, dati di malware alla mano, è certamente più sicuro.

Non resta che installare droidwall, magari bloccando tutte le connessioni in ingresso e uscita… Bene ora lo vado a vedere al market… Aspetta, che cos’è la prima cosa che c’e’ scritta…”ATTENTION: ROOT REQUIRED!!!”

Un Androide Da Sogno… Anzi Da Incubo… Magari Alieno…

March 2, 2011 1 comment

Il sogno è quello del nuovo (ennesimo) malware che ha preso di mira il povero Androide (chiamato romanticamente DroidDream). L’incubo è questo scorcio di 2011 che si dimostra veramente un anno di passione per la creatura di Mountain View. L’Alieno è quello con cui l’Androide potrebbe ben presto infettare altri dispositivi (magari anche qualche bella Mela…)

Ma andiamo con ordine: l’ultimo allarme  di sicurezza in ordine di tempo proviene ancora una volta da Lookout (che dimostra una volta  in più di vederla lunga in fatto di mobile malware) ed è stato ripreso poco dopo da Symantec che lo ha invece battezzato il malware nuovo arrivato Android.Rootcager.

La differenza rispetto agli illustri predecessori d’oriente (Geinimi, HongTouTou e l’ultimo arrivato ) risiede nel fatto che questa volta il nemico è tra noi: la nuova minaccia è stata difatti abilmente celata dentro 50 applicazioni ufficiali, regolarmente mantenute nell’Android Market ufficiale. Secondo una stima di Symantec, addirittura, sono stati tra 50.000 e  200.000 gli utenti che hanno scaricato le applicazioni vettori di infezione nei  4 giorni in cui queste sono state nella cresta dell’onda, o sarebbe meglio dire nella cresta dell’onta di Google che se ne è accorta tardivamente e addirittura, secondo Lookout, non ha intrapreso subito azioni efficaci.

Tanto per cambiare il malware prende di mira i dati personali ed il primo utente ad accorgersi dell’anomalia è stato Lampolo, un utente del Social Network Reddit, che ha analizzato due applicazioni sospette, allarmato dal fatto che avessero cambiato nome dello sviluppatore. Analizzando le applicazioni sosepette, Lampolo ha scoperto al loro interno codice maligno in grado di scavalcare il recinto di sabbia di sicurezza (la famigerata sandbox)  in cui l’Androide dovrebbe far girare ile applicazioni impedendogli di accedere direttamente al sistema (ma d’altronde che il recinto di sabbia dell’Androide non sia il massimo della sicurezza non è una novità).

Un ulteriore blogger di Android Police, Justin Case, ha dato uno sguardo un po’ più da vicino alle applicazioni malevole e ha scoperto che il codice maligno è in grado di rootare il dispositivo, mediante lo strumento rageagainstthecage ben noto a chi ha come hobby quello di comprare un androide per prendergli subito la root. Una volta ottenuti i privilegi il malware è in grado di inviare (questa non me l’aspettavo proprio) informazioni sensibili del dispositivo (IMEI e IMSI) ad un server remoto. Il codice cela anche un ulteriore pacchetto APK nascosto all’interno del codice che è in grado di rubare ulteriori dati sensibili.

A questo link, (o quest’altro) la lista completa delle applicazioni infette, riconoscibili per essere riconducibili a tre autori ben precisi: “Kingmall2010″, “myournet” o “we20090202″. Chi non si sentisse particolarmente sicuro può controllare anche la presenza del servizio (DownloadManageService) tra i servizi in esecuzione.

Tutti questi mali di stagione sono solo eccezioni, ovvero coda di un Inverno che per l’Androide non sembra mai finire, oppure prefigurano quella che sarà una battaglia senza fine tra autori di malware e forze del bene?

Purtroppo propendo di più per la seconda ipotesi involontariamente rafforzata anche dal fatto che l’Androide, per semplificare la vita agli sviluppatori, utilizza una Java Virtual Machine (la famigerata Dalvik al centro di una causa contro l’Oracolo di Larry Ellison) per far girare il codice, evidenza architetturale che sicuramente aiuta gli sviluppatori, ma, per contro, potrebbe avere pesanti ripercussioni in termini di sicurezza. Il perchè è spiegato in questo articolo di McAfee: “Write Once, Mobile Malware Anywhere“, l’utilizzo di Macchine Virtuali per lo sviluppo ha implicitamente diversi benefici (o sarebbe meglio dire malefici) per il malware.

In effetti se si utilizza una macchina virtuale:

  • Si mantiene la compatibilità visto che le API rimangono le stesse;
  • E’ possibile riutilizzare il codice (alcune porzioni quali l’invio di SMS, il trasferimento Bluetooth, etc.) non devono essere riscritte;
  • Soprattutto rende il malware estremamente contagioso visto che può attaccare diversi dispositivi o Sistemi Operativi che utilizzino una macchina virtuale compatibile con l’originaria.

Poiché la macchina virtuale Dalvik potrebbe presto sbarcare su altri dispositivi,  ne consegue che ben preso l’Androide potrebbe diventare il paziente zero per altri dispositivi. Del lavoro di RIM per sviluppare una JavaVirtual Machine compatibile con l’Androide avevo già parlato in questo post, ora sembra che anche Myriad, un membro della Open Handset Alliance che collabora con Google per lo sviluppo di Android sia al lavoro per un Androide Alieno (ovvero una macchina virtuale compatibile con Dalvik definita scherzosamente Alien Dalvik) in grado di far girare applicazioni Android non modificate su piattaforme aliene, per giunta alla stessa velocità dell’androide nativo (dopo il danno del contagio la beffa della stessa velocità di propagazione dell’infezione).

Certo, conoscendo le politiche di Cupertino, dubito che vedremo mai una Macchina Virtuale Aliena nel cuore della Mela, ad ogni modo, tutto lascia comunque suppore che l’Androide possa diventare la piattaforma di riferimento (anche) per il malware con la conseguenza che  ben presto non dovremo più preooccuparci del solo malware mobile terrestre, ma anche di quello Alieno (molto più alieno di quello con cui Jeff Goldblum salva la Terra su Indipence Day).

Se L’Androide Evapora

L’ultima segnalazione in fatto di malware per il povero Androide ce la segnala Symantec. E’ di queste ore la notizia della scoperta di un nuovo malware per il povero Androide senza pace. Android.Pjapps, questo il nome del malware, che si nasconde dietro una applicazione lecita: Steamy Window che nella sua versione pulita, vaporizza lo schermo dell’Androide, e nella versione bacata ne vaporizza anche la sicurezza.

Anche in questo caso siamo alle solite: permessi sospetti durante l’installazione, e mentre l’utente gioca a pulire lo schermo con il ditino, il trojan imprigiona l’Androide dentro una botnet controllata da alcuni server di Comando e Controllo (C&C). Una volta infettato l’Androide Impazzito è in grado di installare applicazioni contro la volontà dell’utente, navigare verso siti web, aggiungere bookmark al browser, inviare messaggi di testo e anche, bloccare le risposte a messaggi.

Il tutto, come nelle migliori tradizioni, rigorosamente in background senza che l’utente se ne accorga minimamente. Ad un cambiamento dell’intensità del segnale il servizio si avvia e tenta di connettersi al seguente server di comando e controllo: (parametri di controllo)

Come si nota agli autori del malware non è mancato il sense of humor, visto che a controllare i dispositivi è un server che richiama meego, il (quasi) defunto sistema operativo figlio della scellerata alleanza tra Nokia e Intel.

Assieme al Check-In, il malware invia informazioni sensibili ottenute dal dispositivo, tra cui:

Alla risposta invia un messaggio con l’IMEI del dispositivo compromesso ad un numero ottenuto dall’indirizzo seguente: di controllo)

Anche in questo caso c’è un richiamo al povero MeeGo. Ovviamente il numero a cui viene inviato il messaggio è controllato dall’attaccante che è in grado di nascondere la sua identità.

Di tanto in tanto, inoltre, il servizio malevolo, mediante un proprio protocollo basato su XML, controlla il server di Comando e Controllo per verificare se ci sono altri comandi.

Anche in questo caso il problema è sempre lo stesso, una applicazione apparentemente lecita presa da un market parallelo e con permessi di installazione improbabili. Manca solo il terzo aspetto che sino ad oggi ha contraddistinto tutti i malware per il povero Androide (dopo i casi di Geinimi e HongTouTou), ovvero la Cina. Forti dubbi mi sono venuti da questa illustrazione che ho trovato sul Blog Symantec, ma poi scavando nella Rete ho scoperto che nelle stesse ore una azienda di sicurezza Cinese (guarda a caso) Netquin ha scoperto due varianti (chiamate SW.SecurePhone e SW.Qieting) presumibilmente riconducibili al malware rilevato da Symantec.

Devo ammettere che il dubbio che siano proprio le aziende d’Oriente a mettere in circolazione le infezioni per l’Androide non si è ancora completamente dissolto…

La Sindrome Cinese

February 17, 2011 Leave a comment

Nel giorno in cui anche alla RSA Conference 2011 è stato ribadito che “E’ ora di prepararsi per le minacce mobili”, la Sindrome Cinese ha nuovamente colpito l’Androide che, in poche ore, è stato vittima di un nuovo malanno informatico. Ancora proveniente dalla Cina, ancora caratterizzato dal fatto di utilizzare come vettore di infezione un store di applicazioni parallelo cinese. A quanto pare quindi il malware Geinimi ha fatto proseliti.

A seguire le sue orme è oggi il malware HongTouTou (conosciuto anche con il nome di Android.Adrd o anche Android/Adrd.A nella sua ultima variante).

Le dinamiche di questo nuovo contagio dell’Androide Cagionevole (che alcuni ritengono essere una variante di Geinimi) sono le medesime, purtroppo collaudatissime, del suo illustre predecessore: il malware è rimpacchettato dentro applicazioni Android popolari e distribuito tramite market di applicazioni parallele e forum frequentati da utenti di lingua cinese. Ovviamente l’utente dovrebbe accorgersi dei permessi sospetti richiesti durante la fase di installazione.

Il malware, di cui sono state rilevate 14 istanze, è impacchettato dentro applicazioni lecite (tra cui il famosissimo Robo Defense con cui ho passato ore di riposo all’ombra di un ombrellone sotto il Sol Leone dell’Agosto passato). Una volta installata l’applicazione richiede i seguenti permessi, in realtà un po’ sospetti per un semplice passatempo o per un wallpaper:



All’avvio dell’applicazione infetta,  il malware si insinua nel telefono colpito viene eseguito al verificarsi di una delle condizioni sottostanti:

  • Sono passate 12 ore dell’avvio del Sistema Operativo;
  • E’ cambiata la connettività di rete (ad esempio è stata persa e ristabilita);
  • Il dispositivo infetto riceve una chiamata.

All’avvio il Trojan tenta di rubare le seguenti informazioni;

  • 3gnet
  • 3gwap
  • APN
  • cmnet
  • cmwap
  • Hardware information
  • IMEI
  • IMSI
  • Network connectivity
  • uninet
  • uniwap
  • Wifi

e le invia cifrate ad una coppia di domini remoti:


In risposta, HongTouTou riceve una pagina Web, ed un insieme di parole chiave di ricerca da inviare come query. Le richieste vengono inviate ad alcuni link noti. Un esempio di stringa è la seguente:[ENCODED SEARCH STRING]&vit=uni&from=[ID]


Lo scopo delle query è quello di incrementare il ranking e quindi la visibilità del sito Web.

A questo punto il malware emula il processo di richiesta utilizzando le parole chiave, analizza i risultati della ricerca con il ranking maggiore ed emula i click su specifici risultati, come se fosse l’utente ad effettuarli. Per il motore di ricerca truffato, le richieste sembrano provenire da un utente mobile che utilizza come browser il programma UCWeb Browser, “casualmente” un progamma di navigazione mobile “Made in China” (l’User-Agent corrisponde a J2ME/UCWEB7.4.0.57).

Il malware inoltre è in grado di scaricare pacchetti di installazione Android APK e quindi di autoaggiornarsi. Anche se ancora non è stato osservato sembrerebbe che il malware sia anche in grado di monitorare le conversazioni SMS e inserire contenuto inopportuno all’interno della conversazione SMS.

Ancor prima di dotarsi di una applicazione anti-malware mobile, come al solito le raccomandazioni sono sempre le stesse:

  • Evitare, a meno che non sia strettamente necessario, di abilitare l’opzione di installazione delle applicazioni da Sorgenti Sconosciute (pratica definita anche “sideloading”).
  • Fare attenzione in generale a ciò che si scarica e comunque installare esclusivamente applicazioni da sorgenti fidate (ad esempio l’Android Market ufficiale, le cui applicazioni non sono infette). Buona abitudine è anche quella di verificare il nome dello sviluppatore, le recensioni e i voti degli utenti;
  • Controllare sempre i permessi delle applicazioni durante l’installazione. Naturalmente il buon senso corrisponde al migliore anti-malware per verificare se i permessi sono adeguati allo scopo dell’applicazione;
  • Fare attenzione ai sintomi comportamenti inusuali del telefono (ad esempio SMS inusuali o una sospetta attività di rete) che potrebbero essere indicatori di una possibile infezione.

Aldilà delle raccomandazioni, applicabili in qualsiasi contesto, non posso fare a meno di notare che HongTouTou (o Android.Adrd) è il secondo malware per l’Androide proveniente dalla Cina in meno di due mesi. Poiché sovente i produttori cinesi di sicurezza sono  stati accusati di mettere in circolazione essi stessi il malware per promuovere i propri prodotti, mi domando a questo punto se certe scorciatoie non siano sbarcate anche nel mondo mobile…


Get every new post delivered to your Inbox.

Join 3,710 other followers