[Huawei Ascend G615][ATTENZIONE!] ROM CON VIRUS TROJAN Android/Spy.Gexin.A.35

[MXOregon]

Oggi ho provato a scansionare tutto il pc e ho riscontrato fino ad ora 21 rilevamenti virus in rom cinesi del nostro u9508.Esattamente il virus incriminato e' esattamente annidato in Networklocation apk in system/app .Antivirus usato Avira internet security.Prelevato l'apk Networklocation della 630 atx scansionato col mio antivirus presente virus...poi ho scansionato l'apk in virus total scanner on line positivo in ben 4 antivirus Scansione Virus Total NetworkLocation.apk
Presente anche in tutte quelle di Lishuo.Provato a scansionare 'apk nella 703 Moize risultato negativo cosi' come nella 509 tedesca.
Ho provato a dezzippare l'apk e all' interno c'e' una cartella che nelle altre Networklocation apk non c'e' traccia.La cartella si chiama assets aprendola contiene il file contenente il virus dal nome config, senza estensione.Qualche altro gentilmente puo' darmi questo riscontro?
Consiglio a quelli che montano rom cinesi di sostituire se possibile con Networklocation della 509 o 703.Avira 2013-09-18_160327.jpg

[Cosmo82]

Caxx è vero.. hai ragione..
Ma se le lascio zippate sul comp non dovrebbero dare problemi vero??

[Sartana]

MHhh, a casa do una controllata, è bene chiarire la faccenda.

Inviterei gli utenti con competenze tecniche in grado di capire se realmente è un virus o un falso positivo ad intervenire.
Per ora cautelativamente rendo non visibile il thread con i link delle Rom.

[danny89]

Se qualcuno mi manda la cartella incriminata appena torno a casa vedo se riesco a capire di che si tratta..


Inviato dal mio HUAWEI U9508 usando Androidiani App

[FrankyHouse]

Nella Batty86 V2.4 non c'è traccia di questa cartella ne del file incriminato, basata su b634. Se può essere utile

[Cosmo82]

Avira mi ha trovato il file GENOTOOLS-NORMAL.EXE...
Solo questo, ho salvata la b634, la b505, la b509, la 107, la 115, la 702, la 703
e poi molte altre moddate, ma non mi ha trovato nessun altro virus..

[danny89]

Il presunto virus si trova all'interno di classes.dex! Ho appena scompattato l'archivio e decompilato la classi..
Ora sto spulciando i sorgenti ma il lavoro è abbastanza lungo, anche perchè i nomi delle classi sono a,b,c ecc e il codice non è per niente commentato!!

[MXOregon]

Il presunto virus si trova all'interno di classes.dex! Ho appena scompattato l'archivio e decompilato la classi..
Ora sto spulciando i sorgenti ma il lavoro è abbastanza lungo, anche perchè i nomi delle classi sono a,b,c ecc e il codice non è per niente commentato!!

Spulciando su Google ho trovato questo
VulDB: Google Android 4.2 classes.dex File Handler vulnerabilità sconosciuta
Componente colpito: Google Android 4.2
Data di pubblicazione: 10/07/2013
Rischio: problematico
Voce: 78.9% completa
Data di creazione: 16/07/2013
Ultimo aggiornamento: 08/08/2013
Riassunto

In Google Android 4.2 stata rilevata una vulnerabilità di livello problematico. É interessato una funzione sconosciuta del componente classes.dex File Handler. Gli effetti sono noti per riservatezza e integrità.

La vulnerabilità è stata pubblicata in data 10/07/2013 con un advisory (Website) (non definito). L’advisory è scaricabile da blog.sina.com.cn. La pubblicazione è stata coordinata con la ditta produttrice. È difficoltoso da sfruttare. Dalla rete può partire l’attacco. Nessuna autentificazione è richiesta per l’uso. Dettagli tecnici sul punto critico come anche metodo d’utilizzo non sono a disposizione.
Applicando a patch è possibile eliminare il problema. Il bugfix è scaricabile da android.googlesource.com. Una possibile soluzione è stata pubblicata già prima e non dopo la pubblicazione della vulnerabilità. La vulnerabilità è documentata anche nei database OSVDB (95113).
CVSS

Base Score: 4.0 (CVSS2#AV:N/AC:H/Au:N/C:P/I:P/A:N) [?]
Temp Score: 3.5 (CVSS2#E:ND/RLF/RC:ND) [?]

CPE

cpe:/o:google:android:4.2

Exploiting

Locale: No
Remoto: Si

Disponibilità: No
Contromisure

Raccomandazione: Patch
Status: Fix ufficiale
0-Day Time: 0 giorni dalla scoperta

Patch: android.googlesource.com
Timeline

03/07/2013 | Pubblicazione contromisura
10/07/2013 | Pubblicazione advisory
16/07/2013 | VulDB voce creata
08/08/2013 | VulDB voce aggiornata
Fonti

Advisory: blog.sina.com.cn
Confermato: android.googlesource.com
Coordinato: Si

OSVDB: 95113

Varie: androidpolice.com

[Cosmo82]

Quindi cosa dobbiamo fare?

[Sartana]

A me kaspersky free ha segnalato 3 virus (poi ho dovuto interrompere la scansione), 2 su chrome chiamati Android e uno per l'appunto in classes.dex .

Purtroppo anche a lavoro è già successo, e non capivamo da cosa potesse dipendere, in passato avevo un virus, e l'hanno beccato anche oggi.
ce l'avevo anche sulla sd esterna del telefono ma inattivo (che sia perché ho messo una Rom liscia?) , ecco probabilmente il perché del permesso di scrivere su tutte le sd (questa è una precisazione per danny89).

Probabilmente il virus (se c'è) fa in modo di scrivere sulle sd esterne così da infettare i pc a cui venga collegato.

@Tutti: consiglio di scaricare kaspersky free in modo da fare una rilevazione delle minacce su pc, e poi si vedrà.
Riportiamo anche i report che ne vengono fuori, cerchiamo info il più possibile accurate, cerchiamo di capire se è un virus o no.