Normalerweise verlangt Ransomware Geld oder Kryptowährung, nachdem sie Ihren Computer oder Ihr Telefon gesperrt oder dessen Daten verschlüsselt hat. Quick Heal Security Labs hat jedoch eine Android-Ransomware entdeckt, die nach der Sperrung des infizierten Geräts iTunes-Geschenkkarten verlangt. Diese Geschenkkarten können auf Auktionsseiten, in sozialen Medien oder im Darknet verkauft werden.
Infektionsvektor
Ihr Android-Gerät kann mit dieser Ransomware infiziert werden, wenn Sie eine schädliche App (mit dem Namen „Porn Hub“) aus App-Stores von Drittanbietern herunterladen oder die App über elektronische Übertragungsmedien (Bluetooth, E-Mails, Filesharing-Sites usw.) empfangen.
Analyse der Porn Hub App-Ransomware
App-Name: Porn Hub
Paketname: com.pornhub_tools
MD5: 9fadc90562ce6e275eb6db8e6ca6ddad
Größe: 39KB
Nachdem die Ransomware Ihr Gerät gesperrt hat, wird eine Lösegeldforderung angezeigt, in der sie als Lösegeld eine iTunes-Geschenkkarte im Wert von 200 US-Dollar als Strafe für das Ansehen von Kinderpornografie fordert. In der Lösegeldforderung wird eine URL angezeigt (Abb. 1). Dies geschieht, wenn Ihr Gerät mit dem Internet verbunden ist.
Wenn Ihr Gerät nicht mit dem Internet verbunden ist, wird in der Lösegeldforderung eine andere Meldung angezeigt. Darin heißt es, dass alle Ihre Dateien verschlüsselt wurden und Sie ein Lösegeld in Bitcoins im Wert von 100 US-Dollar zahlen müssen, um das Gerät zu entsperren und die Daten zu entschlüsseln (Abb. 2).
Unsere Analyse ergab jedoch keine Fälle, in denen die Daten des infizierten Geräts durch diese Ransomware verschlüsselt wurden. Darüber hinaus verfügt die schädliche App („Porn Hub“) über keinen Verschlüsselungscode. Das bedeutet, dass Sie Ihre persönlichen Daten abrufen können, indem Sie das Gerät an Ihren PC anschließen.
Technische Analyse
Als wir versuchten, die schädliche App zu öffnen, wurden wir aufgefordert, die Geräteadministratorrechte zu aktivieren. Wir wählten „Abbrechen“, aber die App wiederholte dieselbe Aktivität, bis wir die Option „Aktivieren“ wählten.
Nach der Aktivierung prüfte die App, ob das Gerät mit dem Internet verbunden ist. War das Gerät online, sammelte die App Gerätedaten wie Geräte-ID und SIM-Anbieter. Diese Daten wurden an eine bestimmte URL (HTTP://*******.w*n//private/tuk_tuk.php) gesendet, die die Webseite mit der Aufforderung zur Eingabe der iTunes-Geschenkkarte lud (Abb. 1). War das Gerät offline, lud die App eine HTML-Seite mit der Aufforderung zur Eingabe von Bitcoins (Abb. 2).
Hier werden die URL und der HTML-Seiteninhalt mit Base64 verschlüsselt. Die Base64-codierten Zeichenfolgen werden wie in Abb. 4 dargestellt decodiert.
Analyse der gefälschten Dropbox-App-Ransomware
App-Name: Dropbox
Paketname: com.example.testlock
MD5: 17bc088027d2f3f71a74beed3a9c715
Größe: 415KB
Quick Heal Security Labs entdeckte eine weitere Schad-App, hinter der sich eine Ransomware verbirgt, die iTunes-Geschenkkarten als Lösegeld fordert. Diese App verwendet das Symbol von Dropbox (einem bekannten Filehosting-Dienst). Beim Öffnen der App wurden wir aufgefordert, die Geräteadministratorrechte zu aktivieren (Abb. 6), genau wie bei der zuvor besprochenen App.
Nach der Aktivierung zeigt die Ransomware eine Lösegeldforderung an, in der behauptet wird, das Gerät sei vom Federal Bureau of Investigation (FBI) als Strafe für das Ansehen von Kinderpornografie gesperrt worden. Um das Gerät zu entsperren, muss innerhalb von 25 Stunden eine iTunes-Geschenkkarte im Wert von 72 US-Dollar eingezahlt werden (Abb. 7).
In der Lösegeldforderung wird der Nutzer aufgefordert, einen iTunes-Geschenkkartencode im geforderten Wert einzugeben. Bei falscher Eingabe erscheint eine Meldung, dass dem Nutzer nur noch zwei Versuche zur Verfügung stehen, danach wird das Gerät dauerhaft gesperrt (Abb. 2).
Bei unserer Analyse stellten wir jedoch fest, dass die Warnung gefälscht ist und nur angezeigt wird, um den Benutzer zur Zahlung des Lösegelds zu zwingen.
Seqrite Detection
Seqrite erkennt beide Arten von Ransomware erfolgreich als Android.Locker.Aa54f und Android.Locker.Aa550.
Es wird dringend empfohlen, kein Lösegeld zu zahlen, da es keine Garantie dafür gibt, dass Sie Ihre Dateien zurückbekommen oder Ihr Gerät entsperrt wird, selbst wenn Sie das Lösegeld zahlen.
So schützen Sie sich vor Android-Ransomware
- Überprüfen Sie vor dem Herunterladen einer App (auch von Google Play) deren Quelle. Überprüfen Sie die Website des Entwicklers und die Bewertungen zur App.
- Vermeiden Sie das Herunterladen von Apps aus App-Stores von Drittanbietern. Die meisten mit Malware infizierten Apps befinden sich in diesen Stores. Laden Sie Apps nur aus offiziellen App-Stores wie Google Play herunter.
- Deaktivieren Sie immer die Option „Unbekannte Quellen“. Wenn Sie diese Option aktivieren, können Sie Apps aus unbekannten Quellen (Drittanbietern) installieren. Gehen Sie auf Ihrem Gerät zu Einstellungen > Sicherheit > prüfen auf Unbekannte Quellen > deaktivieren sie es
- Installieren Sie eine zuverlässige Mobile Sicherheits-App auf Ihrem Telefon, das gefälschte, verdächtige und schädliche Apps blockieren kann.
Fachexperten
Rupali Parate | Quick Heal Security Labs
