Nowy ransomware na Androida blokuje ekran kodem PIN i żąda okupu

Zagrożenia powstające z myślą o atakowaniu użytkowników Androida przybierają coraz bardziej finezyjne formy. Część z nich bazuje na tym, co dobrze już znamy z komputerów: zablokować dostęp do danych, a następnie zażądać okupu, to schemat działania ransomware. Kolejny tego typu szkodnik do działania wykorzystuje blokadę ekranu za pomocą kodu PIN.

Za odkrycie niebezpiecznej aplikacji odpowiedzialni są specjaliści z firmy ESET, która zajmuje się ochroną komputerów i urządzeń mobilnych. Jest to według nich pierwszy przypadek malware, które uniemożliwia nam dostęp do własnych danych przez wykorzystanie tej właśnie funkcji systemowej – blokady ekranu przy pomocy kodu PIN. Wcześniejsze szkodniki jedynie ustawiały w pętli własny ekran z odpowiednim komunikatem na pierwszym planie, dało się je jednak w miarę łatwo unieszkodliwić choćby za pomocą ADB. Tym razem jest inaczej.

Po zainstalowaniu szkodliwej aplikacji oznaczanej przez bazy antywirusowe jako Android/Lockerpin.A próbuje ona uzyskać uprawnienia administratora urządzenia. Oczywiście jawne zapytanie o to użytkownika mogłoby wzbudzić podejrzenia, więc autorzy ukryli je pod komunikatem o rzekomej aktualizacji – ofiara zezwalając na nią, daje programowi dostęp do zwiększonych uprawnień. To w zupełności wystarcza, szkodnik może teraz zablokować urządzenie, a także w dowolnym momencie ustawiać nowy kod PIN dla ekranu blokady. Użytkownik widzi natomiast komunikat o konieczności zapłacenia okupu w wysokości 500 dolarów za rzekome przeglądanie i przechowywanie niedozwolonych treści pornograficznych.

Ustawiony PIN jest losowy, urządzenie nie wysyła go na serwery przestępcy i choć szkodnika wciąż da się usunąć za pomocą ADB, dostęp do urządzenia wymaga już wykonania operacji przywracania ustawień fabrycznych. W lepszej sytuacji są posiadacze urządzeń z odblokowanym dostępem typu root, mogą oni bowiem z poziomu ADB usunąć plik klucza. Większość użytkowników swoich smartfonów i tabletów jednak nie modyfikuje. Szkodnik posiada również rozbudowany system ochrony: jeżeli spróbujemy wycofać mu uprawnienia administratora, ten ponownie wywoła odpowiednie okienko dialogowe, którego zamknięcie… przywróci mu uprawnienia. Oprócz tego stara się zamykać procesy rozwiązań antywirusowych kilku firm, aby chronić się przed wykryciem i zneutralizowaniem.

Jak na razie szkodnika atakuje głównie użytkowników z USA, nie znajdziemy go w Google Play, jest rozprowadzany w innych, nieoficjalnych sklepach, a także przez torrenty i strony warrezowe. Sytuacja wygląda więc podobnie jak w przypadku Adult Playera, który swoje ofiary nagrywa przednią kamerką, a później żąda okupu za kompromitujące zdjęcia i nagrania. Uczulamy więc na to, aby korzystać jedynie ze sprawdzonych źródeł oprogramowania – choć Google nie zapewnia 100% bezpieczeństwa w swoim sklepie, korzystanie z niego naraża nas na mniejsze ryzyko.