Cabir - pierwszy wirus mobilny
Dziesięć lat temu Kaspersky Lab informował o wykryciu Cabira – pierwszego w historii robaka stworzonego w celu atakowania telefonów komórkowych. W przeciwieństwie do większości współczesnych próbek szkodliwego oprogramowania, Cabir nie był wyposażony w szeroki wachlarz szkodliwych funkcji. Przeszedł jednak do historii, ponieważ udowodnił, że można zainfekować komórki.
Eksperci z Kaspersky Lab po raz pierwszy natknęli się na Cabira na początku czerwca 2004 r. Jeden z analityków firmy kończył właśnie swoją zmianę, gdy zauważył wiadomość e-mail, która nie zawierała żadnego tekstu, a jedynie załącznik. Właśnie ten załącznik wzbudzał podejrzenia. Chociaż był to plik, pobieżna analiza nie wystarczyła, aby określić, dla jakiej platformy został napisany. Jedno było pewne - nie był przeznaczony dla Windowsa czy Linuksa, czyli platform, z którymi zwykle mieli wówczas do czynienia analitycy.
„Roman Kuźmienko pracował wtedy na nocnej zmianie” – przypomina sobie Aleksander Gostiew, główny ekspert ds. bezpieczeństwa, Kaspersky Lab. „Wyróżniał się na tle innych analityków, którzy pracowali w tym czasie dla Kaspersky Lab ze względu na swoje umiejętności szybkiej i dokładnej analizy skomplikowanych zagrożeń. Chwilę po przyjrzeniu się temu podejrzanemu plikowi Roman odkrył, że został stworzony tak, aby uruchamiał się w mobilnym systemie operacyjnym, na którym opierały się telefony komórkowe Nokii - Symbian OS”.
Dalsza analiza wykazała, że plik ten potrafi wysłać się na inne telefony za pośrednictwem Bluetootha. Powodowało to błyskawiczny drenaż baterii zainfekowanego urządzenia. Była to jedyna funkcja nowo wykrytego programu, który trudno było jednoznacznie uznać za szkodliwy. Jednak jego możliwość rozprzestrzeniania się na inne telefony komórkowe skłoniła ekspertów do zbudowania specjalnego pomieszczenia testowego służącego do analizowania takich zagrożeń.
„Coraz częściej przychodzili do nas koledzy z sąsiednich biur, narzekając, że jakiś ‘wirus’ infekuje ich telefony. Dlatego też postanowiliśmy wyposażyć pokój w specjalną osłonę zapobiegającą wydostawaniu się z niego sygnału radiowego. W rezultacie, pomieszczenie zaczęło być wykorzystywane jako specjalne miejsce do przeprowadzania testów na próbkach nowego mobilnego szkodliwego oprogramowania” – dodaje Gostiew.
W kodzie Cabira eksperci znaleźli również wzmianki o “29A” – grupie autorów szkodliwego oprogramowania, znanych z tworzenia tzw. wirusów koncepcyjnych lub programów rozwijanych w celu udowodnienia istnienia luki w zabezpieczeniach określonego podsystemu komputerowego, czy też pokazania, że można zainfekować określone systemy i urządzenia.
„Grupa ta stała się znana za sprawą stworzenia szkodliwego oprogramowania, które wywołało dużo szumu w świecie cyberbezpieczeństwa. Cap, Steam, Rugrat – wszystkie te niesławne szkodniki zostały stworzone przez 29A” – zauważa Gostiew.
Oprócz tworzenia koncepcyjnego szkodliwego oprogramowania grupa 29A regularnie wydaje własny magazyn. W jednym numerze 29A opublikowała informacje o robaku wraz z fragmentami jego kodu źródłowego. Artykuł ten, udowadniając, że można stworzyć szkodliwe oprogramowanie, które atakuje jedną z najpopularniejszych platform mobilnych na świecie, wywołał w tym czasie ogromne poruszenie w cyberprzestrzeni. Zmotywował również innych twórców wirusów do dalszego rozwoju tej koncepcji. Niedługo po tej publikacji w sieci pojawiły się wszelkiego rodzaju modyfikacje Cabira.
„Cabir był zaledwie początkiem, punktem wyjścia. Niedługo po wykryciu go przekonaliśmy się, że zagrożenia mobilne stanowią bardzo poważny problem, który wymaga specjalnego podejścia. W odpowiedzi na tę potrzebę ustanowiliśmy całkowicie nowy dział badań w Kaspersky Lab, który całkowicie poświęcił się zagrożeniom mobilnym” – mówi Aleksander Gostiew.
Po Cabirze wykryto kilkaset różnych wirusów atakujących urządzenia z systemem Symbian. Liczba nowych próbek szkodliwego oprogramowania dla tej platformy zaczęła gwałtownie spadać po spopularyzowaniu się nowych mobilnych systemów operacyjnych, takich jak Android, który stał się bardziej rozpowszechniony, a przez to bardziej lukratywny dla cyberprzestępców. Dziesięć lat po wykryciu Cabira kolekcja mobilnego szkodliwego oprogramowania firmy Kaspersky Lab zawiera próbki ponad 340 000 rodzin, których celem w 99 proc. przypadków jest Android. Warto dodać, że każda taka próbka może opisywać nawet tysiące unikatowych szkodliwych programów.
