據(jù)俄羅斯安然公司Doctor Web報(bào)導(dǎo)，它們檢測(cè)到了一個(gè)名為"Android.Oldboot.1"的歹意軟件，或許是第一個(gè)針對(duì)Android的bootkit威脅。該新式木馬會(huì)常駐受傳染設(shè)備的內(nèi)存，并在加載把持系統(tǒng)的階段啟動(dòng)。即便該威脅被部門移除，仍有起碼一個(gè)掩體味駐留在受呵護(hù)的存儲(chǔ)區(qū)域，并在重啟以后重裝該歹意軟件，如斯輪回來(lái)去。
Bootkit是"內(nèi)核模式"rootkit的一個(gè)變種，它可以或許傳染啟動(dòng)代碼、乃至報(bào)復(fù)打擊全盤加密系統(tǒng)。別的，它還削減了本身被檢測(cè)到和被刪除的可能(無(wú)需竄改設(shè)備的文件系統(tǒng))。
據(jù)報(bào)導(dǎo)，該歹意軟件已在全球超越35萬(wàn)臺(tái)移動(dòng)設(shè)備上被檢出，遭到影響的地區(qū)包含西班牙、意大年夜利、德國(guó)、俄羅斯、巴西、美國(guó)、和東南亞等國(guó)度。
當(dāng)然，最嚴(yán)重的環(huán)境是——有92%的受傳染設(shè)備位于中國(guó)!
我們需要厘清的最關(guān)頭一點(diǎn)是——這類威脅其實(shí)不會(huì)經(jīng)由過(guò)程簡(jiǎn)單地瀏覽網(wǎng)頁(yè)、打開附件、乃至sideloading可以利用而分散。要么是附帶的設(shè)備有標(biāo)題問(wèn)題，要么就是Android手機(jī)/平板被人物理接觸并手動(dòng)擺設(shè)。
Dr.Web的詮釋是，該木馬起首成了文件系統(tǒng)指導(dǎo)分區(qū)的一部門，然后點(diǎn)竄負(fù)責(zé)把持系統(tǒng)初始化的腳本。
• 當(dāng)設(shè)備開啟時(shí)，點(diǎn)竄后的腳本負(fù)責(zé)加載該木馬的imei_chk Linux庫(kù)——解壓出lib谷歌kernel.so和GoogleKernel.apk兩個(gè)文件，并將之別離放置于/system/lib和/system/app目次。
• 至此，Android.Oldboot木馬的一部門就會(huì)以一個(gè)典型利用的情勢(shì)被安裝，并進(jìn)一步成為系統(tǒng)辦事。
• 而經(jīng)由過(guò)程lib谷歌kernel.so庫(kù)連接至長(zhǎng)途辦事器、并領(lǐng)受各類指令，更可以實(shí)現(xiàn)下載、安裝、或刪除某些利用法度。
Dr.Web指出，刷上包含該木馬的定制固件是該威脅被植進(jìn)的最有可能的編制(不要隨便刷來(lái)歷不明的刷機(jī)包)。要想根治這一惡疾，請(qǐng)找尋正規(guī)來(lái)歷的刷機(jī)包并從頭刷機(jī)。