В Symantec говорят, что технология » северного полиморфизма» уже ранее использовалась вредоносным ПО, однако до сих пор — только в случае вредоносного ПО для настольных компьютеров. Теперь же данная концепция оптимизирована и для мобильных вредоносов.
Необычный механизм модификации кода работает на сервере дистрибуции, с которого ведется распространение троянца и отвечает за модификацию определенных модулей троянца, чтобы гарантировать, что каждый получатель получает уникальный набор программного кода. Данный механизм отличается от локального полиморфизма, когда код модифицируется каждый раз при запуске программы.
В Symantec говорят, что обнаружили несколько вариантов указанного троянца и определяют новое семейство, как Android.Opfake, причем все они распространяются с серверов в России. Злонамеренное ПО содержит в себе инструкции для автоматической отправки SMS-сообщений на премиальные короткие номера в нескольких странах СНГ и Европы.
По словам антивирусных специалистов, многие сегодняшние мобильные антивирусы полагаются преимущественно на статические сигнатуры и обнаружение постоянно модифицируемых кодов представляет для таких решений сложность. Еще сложнее обнаружить код если модифицируемая база достаточно велика, чтобы модифицировать больше половины троянца. В таком случае код можно детектировать, как правило, только поведенческими механизмами.
«Если производитель антивирусного решения берет за основу детектирования немодифицируемую часть троянца, то с обнаружением проблем не должно возникнуть. Однако в сегодняшнем случае у троянца модифицируется и исполняемая часть», — говорит Тим Армстронг, антивирусный специалист «Лаборатории Касперского», пишет CyberSecurity.ru.
По его словам, в перспективе на базе полиморфных технологий будет создаваться все больше вредоносных кодов.
