Журнал «Компьютерра» № 9 от 7 марта 2006 года

Если завтра война…

Автор: Дмитрий Гуц

Все чаще мы убеждаемся, что развитие вредоносных программ для мобильных устройств идет одновременно с эволюцией самих устройств. И это неудивительно: чем сложнее устройство, тем труднее обеспечить его безопасность. А удивительно вот что: почему до сих пор не найдены надежные методы противодействия, почему антивирусная индустрия с многомиллионными оборотами всякий раз оказывается не готова к новой напасти и действует лишь по факту? Да и производители самих устройств явно не спешат исправить допущенные промахи. Множатся вирусы и трояны для мобильных устройств. Похоже, эту войну не выиграть, более того, она уже почти проиграна. Хуже всего дело обстоит со смартфонами под управлением Symbian.

Дмитрий Гуц — кандидат технических наук, ведущий программист отечественной фирмы MPulze (подразделения датской компании Daxx), занимающейся продвижением в Европе российских программных разработок. Одной из них является антивирус для мобильных телефонов, основанных на платформе Series 60 для операционной системы Symbian. Эта операционная система примечательна и сама по себе. Задуманная изначально как абсолютно защищенная, она, тем не менее, подверглась как минимум трем крупным вирусным атакам, и теперь многие владельцы телефонов опасаются доверять ей свои личные данные. В статье автор постарался объяснить, почему, по его мнению, несмотря на архитектурное «совершенство» системы, никто из ее пользователей не может чувствовать себя защищенным. — К.К.

Операционная система Symbian была разработана специально для мобильных устройств. Ее создание началось еще в 1998 году в одноименной компании, организованной крупнейшими производителями — Ericsson, Nokia, Motorola и Psion. Symbian, имеет совершенную концепцию и изящное внутреннее строение, в корне отличающиеся от того, что предлагает Microsoft в своей операционной системе для этого рынка.

К сожалению, реализация Symbian оставляет желать лучшего. Код ядра имеет множество трудно обнаруживаемых ошибок и «странностей». API, реализованный в виде классов C++, изобилует ошибками и неточностями; стиль программирования, культивируемый Symbian, напоминает гибрид скриптового языка и худших возможностей C++. При изучении ОС создается впечатление, что команда программистов неоднократно менялась, и всякий раз разработку продолжали все менее квалифицированные люди, но непременно в сжатые сроки.

Перечисленные особенности сильно затрудняют разработку программ для Symbian, тем самым поднимая стоимость минимального набора программ для продвинутого пользователя до 200—300 долларов, что практически равно стоимости самого аппарата. Это обстоятельство готовит хорошую почву для нелегального программного обеспечения, давно распространяющегося через множество интернет-сайтов. Среди взломанных копий часто встречаются дистрибутивы, содержащие вирусы и/или троянские программы, которые нарушают нормальную работу смартфона.

Как средство борьбы с вредоносным софтом и пиратством Symbian предлагает свою программу Symbian Signed [ www.symbiansigned.com/app/page], суть которой сводится к подписи всего легального ПО цифровой подписью самой Symbian. С виду это кажется панацеей, поскольку в новых версиях ОС, начиная с 9.0, неподписанное ПО будет запускаться с серьезными ограничениями, такими как запрещение использования SMS, MMS, GPRS и др. Это значит, что создать функциональное приложение без подписи станет невозможно.

Если копнуть глубже, мы увидим, что за пышными словами о Symbian Signed скрывается совсем иная суть. Чтобы получить цифровую подпись Symbian, разработчику сначала нужно за приличную сумму (порядка 300 евро) купить удостоверяющий личность сертификат. Затем послать свое подписанное приложение одной из фирм-тестеров, список которых предоставляет Symbian. Тестирование заключается в проверке определенных условий, и надо заметить, не всегда обоснованных. Эти условия могут с переменным успехом либо выполняться, либо не выполняться на Symbian OS, которая и сама по себе изобилует ошибками. Одно тестирование обходится в 200—500 евро, при отрицательном результате их может быть множество. Если тестирование в конце концов пройдено, Symbian ставит подпись, и на этом выпуск версии заканчивается. Существует также множество промежуточных шагов, о которых тут не упомянуто. И когда версия выпущена, то при необходимости внести любое изменение процесс повторяется.

Программа Symbian Signed не способна реально повлиять на что-либо в сфере безопасности смартфонов и является, по сути, средством выколачивания денег из производителей софта. Поэтому, как только будет найдено средство отключить навязчивые функции ОС, это немедленно будет сделано подавляющим большинством пользователей смартфонов, уставших от необоснованно высоких цен на программы. Многие будут готовы рискнуть безопасностью смартфона ради сбережения кошелька и удобства использования.

Каждый желает знать, где сидит троян

Возвращаясь к зловредным программам, от которых якобы должна обезопасить Symbian Signed, отметим, что среди таковых для смартфонов Series 60 доминируют не вирусы, а трояны. Если исключить явный плагиат и многочисленные мелкие модификации, то на сегодня существуют всего два основных и полноценных вируса для этой платформы — Cabir и CommWarrior. В обоих случаях, чтобы вирус действительно инфицировал телефон, пользователь должен принять сообщение с копией вируса и запустить процесс инсталляции, подтвердив желание установить неизвестное приложение.

Парадокс человеческой психики: сообщения MMS, пришедшие с телефона известного отправителя, воспринимаются с очень высоким уровнем доверия. Соответственно приложение из такого сообщения, в том числе и вирус, часто бывает инсталлировано. Таким образом, практически любая конфиденциальная информация, имеющаяся на смартфоне, может быть получена и передана злоумышленнику.

Существующие вирусы можно обнаружить лишь по косвенным признакам, так как они действуют в фоновом режиме и не мешают работе смартфона. CommWarrior не виден даже в списке запущенных приложений, а в списке процессов выдает себя за часть ОС. Троянские же программы обычно сразу вызывают явное нарушение функционирования смартфона.

Когда наличие вредоносной программы все-таки обнаружено, в большинстве случаев остается только отформатировать смартфон, поскольку неясно, как можно решить проблему иным способом. На некоторых моделях бывает, что даже форматирование выполнить не удается. Дожидаться появления антивируса в этом случае не стоит: слишком долго раскачиваются антивирусные компании. Кроме того, установить антивирус скорее всего уже не удастся, поскольку смартфон либо полностью неработоспособен, либо блокированы возможности инсталляции и деинсталляции программ.

Вирус-феникс

Дело усугубляется тем, что для Symbian существует реальная возможность создать вирус, практически не поддающийся лечению. Она существует, уже начиная с версии 6.1, которая установлена на относительно старых моделях смартфонов, например Nokia 3650 и 7650. Неизлечимый вирус, обладающий способностью к самовосстановлению, из-за упущений, имеющихся в ОС, может переживать даже форматирование памяти телефона, которое обычно выполняют в сервисном центре в качестве меры против любых вредоносных программ.

В определенном смысле эта возможность является крахом нынешней антивирусной индустрии для смартфонов. Возможность создания программы, которую невозможно выгрузить из памяти и удалить кроме как полной перепрошивкой телефона специальным оборудованием, была проверена, например, на аппарате Nokia 3650.

Ряд требований Symbian Signed препятствует реализации подобных функций для антивируса. Некоторые антивирусные компании гордятся тем, что именно их продукт имеет соответствующий сертификат. На практике же такие заявления равнозначны признанию неспособности продукта обеспечить собственную безопасность, безопасность смартфона и в итоге — защиту от вирусов. Так как получается, что вирус может блокировать установку любого антивируса и сопротивляться попыткам удаления.

Боевые задачи

Построение антивирусов для мобильных устройств по традиционной методике заранее проигрышно. На протяжении последнего года уже не раз наблюдалась ситуация, в которой большинство существующих мобильных антивирусов были неспособны не только обезвредить новую модификацию вредоносной программы, лишь незначительно отличающуюся от предыдущей, но и защитить самих себя. Например, одна из разновидностей трояна Drever выводит из строя многие антивирусы элементарной записью поверх них своих файлов.

Вероятно, главная ошибка компаний, выпускающих антивирусы для ПК, состоит в том, что при создании антивирусов для мобильных устройств они применяют принцип подобия. Мобильный антивирус создается как уменьшенная копия продукта для ПК, используются те же самые принципы и алгоритмы: только после получения экземпляра вируса или троянской программы начинает готовиться противоядие. Но мобильные вирусы имеют свою специфику и серьезно отличаются от своих «настольных» собратьев. Это не учитывается, как не учитывается и коренное отличие платформ. А ведь при разработке антивируса для смартфонов необходимо использовать абсолютно иную идеологию.

Cabir

29А (= 666 десятичное) — это группа создателей вирусов, как правило, концептуального характера, не распространяющих свои изделия, а создающих их «из любви к искусству». Cabir способен инфицировать только устройства с Symbian и надстройкой Series 60.

CommWarrior

Разработка российского хакера с псевдонимом e10d0r. Вирус содержит в коде копирайт и напутствие «OTMOP03KAM HET!». Появление CommWarrior ознаменовало новую эпоху мобильного вирусостроения: впервые для размножения были использованы возможности MMS.

Oказывается, прислали новый антивирус! Давайте установим его скорее…

Текст сообщения выбирается вирусом случайным образом из большого количества вариантов.

Skulls

Многочисленная группа вирусов с похожими свойствами. Они могут «маскироваться» подо все, что угодно. Недавно в Сети появились люди, переупаковывающие Skulls в мало отличающиеся дистрибутивы и пытающиеся продавать их производителям антивирусов как свеженайденные варианты трояна, и даже организующие платные «подписки» на эти новинки.

Троян заменяет иконки важнейших системных утилит и нарушает их функциональность.