В конце ноября 2016 года, в Comodo исследования угроз лабораторий, обнаруженных образцов вредоносных программ для Android “Tordow П2.0”, затрагивающих клиентов в России. Tordow-это первый Троян мобильный банк для операционной системы Android, которая стремится получить права root на зараженных устройствах. Как правило, банковская вредоносная программа не требует root-доступ для выполнения вредоносных деятельности, но с корнем хакерам доступ приобретают более широкий диапазон функциональных возможностей.

Tordow 2.0 может делать телефонные звонки, управлять SMS-сообщения, скачивать и устанавливать программы, украсть регистрационные данные, контакты доступ, шифрование файлов, посещения веб-страниц, манипулировать банковскими данными, удалить программное обеспечение безопасности, перезагрузить устройства, переименовать файлы, и действуют как вымогатели. Он ищет браузеры Opera и Google Chrome для хранить конфиденциальную информацию. Технические данные показывают, что Tordow 2.0 также собирает сведения об аппаратной и программное обеспечение, Операционная система, производитель, интернет-провайдера и местоположения пользователя.

Tordow 2.0 обладает CryptoUtil класса функций, с которыми он может шифровать и дешифровать файлы, используя алгоритм AES со следующими зашит ключ: ‘MIIxxxxCgAwIB’. Пакет приложения Android (apk) файлы, с такими именами, как “cryptocomponent.2”, зашифрованы с помощью алгоритма AES.

Tordow 2.0 имеет девяти различных способов, в которых он подтверждает, что он получил права root. Его состояние передается одному из командования и управления злоумышленника (С2) сервера, например, нашел в “https://2ip.ru”. С корневой доступ, злоумышленник может делать все, что угодно, и это будет трудно удалить, таких окопавшихся вредоносных программ из зараженной системы.

Tordow распространяется через общие социальные медиа-и игровых приложений, которые были загружены, обратного проектирования, и саботируется вредоносного кода. Приложения, которые были использованы в числе "Вконтакте" (русский Facebook), Покемон пойти, телеграмму, и Сабвей серф. Зараженной программы обычно распространяются со сторонних сайтов, не связанных с официальных веб-сайтов, таких как Google Play и магазинах Apple, хотя у обоих были проблемы с хостингом и распространения зараженных приложений раньше. Угнали приложений обычно ведут себя так же, как и оригинальные, но также включают встроенные и зашифрованного вредоносного функционала, в том числе в связи С2, эксплойт-пак для корневой доступ, и доступ к загружаемым троянские модули.

Хотя большинство жертв были в России, успешные методы, хакер обычно мигрируют в другие части земного шара. Для защиты от Tordow 2.0 и аналогичных угроз, пользователи должны сохранить их для обеспечения безопасности до-до-даты, будьте бдительны в отношении нежелательных ссылок и вложений, и загружайте приложения только с официальных сайтов.