[Huawei Ascend G615][ATTENZIONE!] ROM CON VIRUS TROJAN Android/Spy.Gexin.A.35

Oggi ho provato a scansionare tutto il pc e ho riscontrato fino ad ora 21 rilevamenti virus in rom cinesi del nostro u9508.Esattamente il virus incriminato e' esattamente annidato in Networklocation apk in system/app .Antivirus usato Avira internet security.Prelevato l'apk Networklocation della 630 atx scansionato col mio antivirus presente virus...poi ho scansionato l'apk in virus total scanner on line positivo in ben 4 antivirus Scansione Virus Total NetworkLocation.apk
Presente anche in tutte quelle di Lishuo.Provato a scansionare 'apk nella 703 Moize risultato negativo cosi' come nella 509 tedesca.
Ho provato a dezzippare l'apk e all' interno c'e' una cartella che nelle altre Networklocation apk non c'e' traccia.La cartella si chiama assets aprendola contiene il file contenente il virus dal nome config, senza estensione.Qualche altro gentilmente puo' darmi questo riscontro?
Consiglio a quelli che montano rom cinesi di sostituire se possibile con Networklocation della 509 o 703.Allegato 82005

Caxx è vero.. hai ragione..
Ma se le lascio zippate sul comp non dovrebbero dare problemi vero??

MHhh, a casa do una controllata, è bene chiarire la faccenda.

Inviterei gli utenti con competenze tecniche in grado di capire se realmente è un virus o un falso positivo ad intervenire.
Per ora cautelativamente rendo non visibile il thread con i link delle Rom.

Se qualcuno mi manda la cartella incriminata appena torno a casa vedo se riesco a capire di che si tratta..


Inviato dal mio HUAWEI U9508 usando Androidiani App

Nella Batty86 V2.4 non c'è traccia di questa cartella ne del file incriminato, basata su b634. Se può essere utile ;)

Avira mi ha trovato il file GENOTOOLS-NORMAL.EXE...
Solo questo, ho salvata la b634, la b505, la b509, la 107, la 115, la 702, la 703
e poi molte altre moddate, ma non mi ha trovato nessun altro virus..

Il presunto virus si trova all'interno di classes.dex! Ho appena scompattato l'archivio e decompilato la classi..
Ora sto spulciando i sorgenti ma il lavoro è abbastanza lungo, anche perchè i nomi delle classi sono a,b,c ecc e il codice non è per niente commentato!!

Quote:

---

Originariamente inviato da danny89

Il presunto virus si trova all'interno di classes.dex! Ho appena scompattato l'archivio e decompilato la classi..
Ora sto spulciando i sorgenti ma il lavoro è abbastanza lungo, anche perchè i nomi delle classi sono a,b,c ecc e il codice non è per niente commentato!!

---

Spulciando su Google ho trovato questo
VulDB: Google Android 4.2 classes.dex File Handler vulnerabilità sconosciuta
Componente colpito: Google Android 4.2
Data di pubblicazione: 10/07/2013
Rischio: problematico
Voce: 78.9% completa
Data di creazione: 16/07/2013
Ultimo aggiornamento: 08/08/2013
Riassunto

In Google Android 4.2 stata rilevata una vulnerabilità di livello problematico. É interessato una funzione sconosciuta del componente classes.dex File Handler. Gli effetti sono noti per riservatezza e integrità.

La vulnerabilità è stata pubblicata in data 10/07/2013 con un advisory (Website) (non definito). L’advisory è scaricabile da blog.sina.com.cn. La pubblicazione è stata coordinata con la ditta produttrice. È difficoltoso da sfruttare. Dalla rete può partire l’attacco. Nessuna autentificazione è richiesta per l’uso. Dettagli tecnici sul punto critico come anche metodo d’utilizzo non sono a disposizione.
Applicando a patch è possibile eliminare il problema. Il bugfix è scaricabile da android.googlesource.com. Una possibile soluzione è stata pubblicata già prima e non dopo la pubblicazione della vulnerabilità. La vulnerabilità è documentata anche nei database OSVDB (95113).
CVSS

Base Score: 4.0 (CVSS2#AV:N/AC:H/Au:N/C:P/I:P/A:N) [?]
Temp Score: 3.5 (CVSS2#E:ND/RL:OF/RC:ND) [?]

CPE

cpe:/o:google:android:4.2

Exploiting

Locale: No
Remoto: Si

Disponibilità: No
Contromisure

Raccomandazione: Patch
Status: Fix ufficiale
0-Day Time: 0 giorni dalla scoperta

Patch: android.googlesource.com
Timeline

03/07/2013 | Pubblicazione contromisura
10/07/2013 | Pubblicazione advisory
16/07/2013 | VulDB voce creata
08/08/2013 | VulDB voce aggiornata
Fonti

Advisory: blog.sina.com.cn
Confermato: android.googlesource.com
Coordinato: Si

OSVDB: 95113

Varie: androidpolice.com

Quindi cosa dobbiamo fare?

A me kaspersky free ha segnalato 3 virus (poi ho dovuto interrompere la scansione), 2 su chrome chiamati Android e uno per l'appunto in classes.dex .

Purtroppo anche a lavoro è già successo, e non capivamo da cosa potesse dipendere, in passato avevo un virus, e l'hanno beccato anche oggi.
ce l'avevo anche sulla sd esterna del telefono ma inattivo (che sia perché ho messo una Rom liscia?) , ecco probabilmente il perché del permesso di scrivere su tutte le sd (questa è una precisazione per danny89).

Probabilmente il virus (se c'è) fa in modo di scrivere sulle sd esterne così da infettare i pc a cui venga collegato.

@Tutti: consiglio di scaricare kaspersky free in modo da fare una rilevazione delle minacce su pc, e poi si vedrà.
Riportiamo anche i report che ne vengono fuori, cerchiamo info il più possibile accurate, cerchiamo di capire se è un virus o no.

Quote:

---

Originariamente inviato da Sartana

A me kaspersky free ha segnalato 3 virus (poi ho dovuto interrompere la scansione), 2 su chrome chiamati Android e uno per l'appunto in classes.dex .

Purtroppo anche a lavoro è già successo, e non capivamo da cosa potesse dipendere, in passato avevo un virus, e l'hanno beccato anche oggi.
ce l'avevo anche sulla sd esterna del telefono ma inattivo (che sia perché ho messo una Rom liscia?) , ecco probabilmente il perché del permesso di scrivere su tutte le sd (questa è una precisazione per danny89).

Probabilmente il virus (se c'è) fa in modo di scrivere sulle sd esterne così da infettare i pc a cui venga collegato.

@Tutti: consiglio di scaricare kaspersky free in modo da fare una rilevazione delle minacce su pc, e poi si vedrà.
Riportiamo anche i report che ne vengono fuori, cerchiamo info il più possibile accurate, cerchiamo di capire se è un virus o no.

---

Se puo' esser utile Sartana quando ho fatto la scansione completa Avira ha trovato oltre che nelle ROM anche lo stesso virus nel mio Browser uso Chromium strana sta cosa. Ecco il report di Avira di Chromium :
Trovato un virus o un programma indesiderato 'Android/Spy.Gexin.A.35'[virus] nel file 'C:\Users\MX0R\AppData\Local\Chromium\User Data\Default\File System\000\t\00\00000028'. Azione eseguita: Il file è stato spostato in quarantena con il nome '40533463.qua'!

ma quindi è un potenziale virus che agisce sul pc, o minaccia la sicurezza del cel?


Inviato dal mio GT-S6500 usando Androidiani App

Questo il risultato della scansione notturna:

Quote:

---

È stato rilevato l'oggetto infetto (file) Y:\ANDROID\HiSuite\backup\backup_HUAWEI U8815_2012-10-03-10-24-28\com.bacastudio.go_ics_theme.apk/classes.dex Y:\ANDROID\HiSuite\backup\backup_HUAWEI U8815_2012-10-03-10-24-28\com.bacastudio.go_ics_theme.apk/classes.dex HEUR:Trojan.AndroidOS.Plangton.a

È stato rilevato l'oggetto infetto (file) Y:\ANDROID\ASCEND G 615\MODDATE\JB\Nuova cartella\hwu9508_b630_atx_fix2_a.zip/system/etc/hosts Y:\ANDROID\ASCEND G 615\MODDATE\JB\Nuova cartella\hwu9508_b630_atx_fix2_a.zip/system/etc/hosts Trojan.Win32.Hosts2.gen Oggi, 04:07

È stato rilevato l'oggetto infetto (file) Y:\ANDROID\ASCEND G 615\MODDATE\JB\Nuova cartella\hwu9508_b630_atx_fix2_a.zip/system/app/HwMediaCenter.apk/classes.dex Y:\ANDROID\ASCEND G 615\MODDATE\JB\Nuova cartella\hwu9508_b630_atx_fix2_a.zip/system/app/HwMediaCenter.apk/classes.dex HEUR:Trojan-SMS.AndroidOS.Agent.eu Oggi, 04:05

È stato rilevato l'oggetto infetto (file) Y:\ANDROID\ASCEND G 615\MODDATE\JB\hwu9508_b630_atx_fix2.zip/system/etc/hosts Y:\ANDROID\ASCEND G 615\MODDATE\JB\hwu9508_b630_atx_fix2.zip/system/etc/hosts Trojan.Win32.Hosts2.gen Oggi, 04:01

È stato rilevato l'oggetto infetto (file) Y:\ANDROID\ASCEND G 615\MODDATE\JB\hwu9508_b630_atx_fix2.zip/system/app/HwMediaCenter.apk/classes.dex Y:\ANDROID\ASCEND G 615\MODDATE\JB\hwu9508_b630_atx_fix2.zip/system/app/HwMediaCenter.apk/classes.dex HEUR:Trojan-SMS.AndroidOS.Agent.eu Oggi, 04:00

È stato rilevato l'oggetto infetto (file) Y:\ANDROID\ASCEND G 615\MODDATE\JB\SoreX P631.zip/system/app/HwMediaCenter.apk/classes.dex Y:\ANDROID\ASCEND G 615\MODDATE\JB\SoreX P631.zip/system/app/HwMediaCenter.apk/classes.dex HEUR:Trojan-SMS.AndroidOS.Agent.eu Oggi, 03:59

È stato rilevato l'oggetto infetto (file) Y:\TwRemix3.zip/system/app/HwMediaCenter.apk/classes.dex Y:\TwRemix3.zip/system/app/HwMediaCenter.apk/classes.dex HEUR:Trojan-SMS.AndroidOS.Agent.eu Oggi, 03:46

È stato rilevato l'oggetto infetto (file) C:\Documents and Settings\roby\AppData\LocalLow\Sun\Java\Deployment \cache\6.0\59\5f18aafb-6f6423b3 C:\Documents and Settings\roby\AppData\LocalLow\Sun\Java\Deployment \cache\6.0\59\5f18aafb-6f6423b3 HEUR:Exploit.Java.CVE-2012-1723.gen Oggi, 01:11

È stato rilevato l'oggetto infetto (file) C:\Documents and Settings\roby\AppData\Local\Google\Chrome\User Data\Default\File System\000\t\00\00000003/system/app/HwMediaCenter.apk/classes.dex C:\Documents and Settings\roby\AppData\Local\Google\Chrome\User Data\Default\File System\000\t\00\00000003/system/app/HwMediaCenter.apk/classes.dex HEUR:Trojan-SMS.AndroidOS.Agent.eu Oggi, 01:10

---

Qui mi segnala anche altra roba, anche sulla Sorex. Mi viene il dubbio che sia perché è basata sulla versione della Rom simil p6 che ha fatto uscire il team ATX, ma ion ricordo. Comunque gli ho chiesto lumi, vediamo se coinvolgiamo anche lui nel cercare di capire.

Oppure son tutti falsi positivi.

Spero la seconda che ho detto, ma il fatto che non li rilevi solo nel file ma anche nel pc....boh.

Allora ragazzi il problema è questo "Values in zip files are unsigned", che a soldoni vuol dire che non vi è nessun controllo sull'integrità dell'apk (si può quindi sostituire tutta la cartella classes.dex con una malevola)..Il problema è già stato fixato da google e inserito nel codice AOSP il 3 Luglio quindi immagino che huawei abbia usato una versione precedente del suddetto codice. (Grazie Huawei o_O)
Resta da capire l'impatto che ha questo virus sullo smartphone/pc..

EDIT: l'antivirus non dovrebbe dare problemi a meno che la cartella non sia stata sostituita/modificata..ps ho trovato anche del codice per sfruttare questo bug!
Inoltre la presenza del virus sul pc è abbastanza sospetta..
IMPORTANTE: non cancellate la cartella APPDATA poichè è una cartella di sistema e contiene tutti i dati delle applicazioni!!

scusate ma avira free lo potrebbe segnalare??

Sorex mi ha risposto che la sua dovrebbe essere presa dalla versione liscia Huawei, quindi non dovrebbe avere problemi.

Potrebbe essere un falso positivo, lo trova anche sulla TwRemix3, non mi ricordo chi è l'autore.
Comunque prestate attenzione, e controllate i pc.

Scusate ho la 703 cinese... E infetta o no?

no. Le Rom huawei lisce non sono sicuramente infette.

Ragazzi non oer allarmarvi(visto che magari è un falso positivo)ma io ho dovuto reinstallare windows a causa di errori che non mi erano mai capitati(mi diceva di fare lo scandisck e poi mi diceva impossibile fare lo scandisk e andava in loop il pc)...magari era un altro virus io ve lo ho detto solo per precauzione

Bon , a questo punto per andare sul sicuro eliminerò tutti i link a Rom probabilmente infette.
Da scansione per esempio le Rom TigerLei non mi danno risultati, e scompattando l'Apk non ci sono le cartelle ed i file incriminati.

Se ricapiterà di postare Rom cinesi mi premurerò di scansionarle per controllarle.
Anzi, facciamo che chi la posta ha l'obbligo di scansionarla d'ora innanzi, la inserisco nel regolamento, in modo che non sia un piacere ma un obbligo.
Situazioni come questa sono fastidiose.

Il file networklocation.apk della b634 non ha virus, controllato col nod32 5.2.9.12 (ricordo comunque che gli antivirus free lasciano il tempo che trovano, specialmente avira, mia esperienza negativa).

Se parli di una stock Huawei no, nessuna ha nessun virus. Forse il titolo è fuorviante, meglio se lo cambio và...Si parla solo di ROM Costum, fatte da altri, tipo lishuo o il team ATX.

Volevo segnalare un altro rilevamento virus in ROM Cinesi.Ho scaricato l'ultima versione MIUI Geno

版本：3.11.1（V5） originale di Geno.Ovviamente scansionata prima di installarla.Scansione con Avira.Trovato un virus al suo interno.Non so se possa essere un falso positivo o un vero virus comunque...visto i precedenti con sti cinesi...occhio alla penna!!! Magari qualcuno puo' trovare conferma scansionandola con altro antivirus affidabile tipo Kaspersky o Comodo.
Per lupo alberto...il nod e' na ciofeca di antivirus non fa testorotfl