Le 26 décembre 2012

Doctor Web informe les utilisateurs de l’apparition d’un nouveau programme malveillant ciblant Android. Le trojan Android.DDoS.1.origin est capable de réaliser des attaques DDoS de diverses pages web, il peut également envoyer des SMS sur commande des pirates.

Une fois installé sur un mobile tournant sous Android, le trojan Android.DDoS.1.origin crée une icône imitant celle de Google Play et si l’utilisateur clique dessus, c’est réellement Google Play qui sera lancé, mais le trojan également.

Suite à son lancement, le trojan transmet le numéro de mobile au serveur, puis attend des commandes via SMS, notamment celles d’attaques de pages web, le message contenant dans ce cas les informations suivantes: [serveur:port]. Ensuite, Android.DDoS.1.origin envoie des paquets réseau à l'adresse spécifiée. Si les pirates envoient une commande pour envoyer des SMS (et non attaquer une page web), alors celle-ci contient le texte du message et le numéro auquel celui-ci doit être envoyé. Lors de ces actions le trojan peut considérablement ralentir le mobile et faire perdre de l'argent à son propriétaire, notamment lors de l'envoi de messages à tarif élevé.

Le schéma de propagation reste à découvrir, la méthode de l’ingénierie sociale via une application pour Android sur Google Play restant la plus probable. Il est à noter que le code d’Android.DDoS.1.origin n’est pas clair.

Les spécialistes Doctor Web continuent à étudier la menace Android.DDoS.1.origin. Tous les utilisateurs de Dr.Web pour Android sont protégés contre ce trojan.