Ransomware Faketoken bierze się za szyfrowanie plików na Androidzie

Do tej pory mobilne odmiany ransomware stawiały na blokowaniezarażonych urządzeń – ich twórcy wychodzili z założenia, żeszyfrowanie danych nie ma większego sensu, skoro kopie zapisane sąw chmurze. Faketoken jest chyba pierwszym działającym na takąskalę szkodnikiem, który postawił na masowe szyfrowanie danych naAndroidzie, w dodatku całkiem sprawnie kradnąc wrażliwe dane zaplikacji finansowych.

Kaspersky Lab ostrzegaprzed podszywającym się pod przeróżne aplikacje i gry mobilne (anawet pod Flash Playera) trojanem Faketoken(Trojan-Banker.AndroidOS.Faketoken). Jego głównym celem jestwykradanie danych. Jak do tej pory miał mieć ponad 16 tys. ofiar z27 krajów, w tym u naszych najbliższych sąsiadów – Niemiec,Rosji i Ukrainy.

Podczas infekcji szkodnik w miarę możliwości żąda uprawnieńadministratora, a jeśli brak roota na to nie pozwala, to zgody nanałożenie się na inne aplikacje czy działanie jako klient SMS-ów.Według Kaspersky Lab robi to tak skutecznie, że wielu użytkownikóww końcu udziela mu tych uprawnień, otwierając drogę do kradzieżydanych, czy to bezpośrednio, z kontaktów i plików, czy pośrednio,poprzez strony phishingowe.

Następnie ze swojego serwera dowodzenia i kontroli Faketokenpobiera bazę z frazami w 77 językach dla różnych lokalizacjiurządzeń. Wykorzystywane są one do tworzenia wiadomościphishingowych, pozwalających na przejęcie haseł z kont Gmail.Trojan potrafi też udawać Sklep Play, aby wykraść dane związanez kartami płatniczymi. Lista aplikacji dla których możewygenerować strony phishingowe jest spora, wśród samych aplikacjifinansowych znalazło się na niej 2 249 pozycji.

Nowa wersja Faketokena wprowadza mechanizm szyfrowania danych naurządzeniu, w tym dokumentów, zdjęć i filmów. Wykorzystywany wtym celu jest symetryczny szyfr AES. Najwyraźniej jednak nie jest toza skuteczne, coś musi być nie tak z zastosowanym kluczem, gdyżeksperci Kaspersky Lab wspominają o możliwości odszyfrowaniadanych bez płacenia okupu – najwyraźniej chodzi o możliwośćjego przejęcia z serwera dowodzenia i kontroli.

Dodatkowo zmodyfikowana wersja Faketokena próbuje zastąpićskróty aplikacji portali społecznościowych, komunikatorówinternetowych i przeglądarek. Cel tego działania jest nieznany,podmienione ikony wciąż prowadzą do oryginalnych aplikacji.Zapewne jest to próba przed jakimś nowym mechanizmem phishingowym.

Ochrona przez Faketokenem sprowadza się do przestrzegania trzechwzględnie prostych postulatów:

– tworzenia kopii zapasowych wszystkich danych,

– nieudzialania aplikacjom uprawnień bez zastanowienia się,czy są one im faktycznie potrzebne,

– aktualizowania firmware i korzystania z mobilnegooprogramowania antywirusowego.