Πρόκειται για το trojan “Android.Pincer.2.origin”, ανακαλύφθηκε από την εταιρεία λύσεων ηλεκτρονικής ασφαλείας Doctor Web και υποδύεται πως είναι πιστοποιητικό ασφαλείας. Μόλις εκτελεστεί, ο χρήστης θα λάβει μία ψεύτικη ειδοποίηση πως το πιστοποιητικό εγκαταστάθηκε με επιτυχία, και κατόπιν δε θα κάνει εμφανή την παρουσία του.
Η εφαρμογή φορτώνεται αυτόματα κατά την εκκίνηση της συσκευής μέσω της υπηρεσίας CheckCommandServices, η οποία τρέχει στο παρασκήνιο. Κατόπιν, συνδέεται σε έναν απομακρυσμένο C&C server και στέλνει όλα τα στοιχεία της συσκευής του κατόχου: το μοντέλο, το σειριακό αριθμό και το IMEI της συσκευής, τον πάροχο της σύνδεσης, τον αριθμό του τηλεφώνου, τη γλώσσα, το λειτουργικό που τρέχει και την διαθεσιμότητα του λογαριασμού διαχειριστή.
Αφού ολοκληρωθεί το στάδιο της μετάδοσης των πληροφοριών της συσκευής, το πρόγραμμα αναμένει εντολές από τους δημιουργούς του. Μέσω των εντολών που ανακαλύφθηκαν πως υποστηρίζονται, οι εγκληματίες έχουν μεταξύ άλλων τη δυνατότητα:
- να προωθήσουν μηνύματα σε άλλους τηλεφωνικούς αριθμούς που θα ορίσουν
- να υποκλέψουν μηνύματα σε αριθμό που θα ορίσουν
- να σταματήσουν τη λειτουργία του προγράμματος
- να εμφανίσουν στην οθόνη του θύματος μήνυμα
- να αλλάξουν τη διεύθυνση του server που επικοινωνεί το πρόγραμμα
Το θετικό στην προκειμένη υπόθεση είναι πως το malware δεν βρέθηκε στο Google Play, και δεν αναμένεται να διαδοθεί ευρέως. Δείχνει να αποτελεί εργαλείο που στοχεύει συγκεκριμένους χρήστες μάλλον για συγκεκριμένους σκοπούς.
Είναι πάντως ένα ισχυρό παράδειγμα για το πόσο έχουν εξελιχθεί τα κακόβουλα προγράμματα και μία ακόμη υπενθύμιση για να προσέχουμε πάντα τι εγκαθιστούμε και από πού.