A equipe de pesquisa do zLabs identificou uma nova campanha sofisticada de ameaças direcionada a usuários espanhóis do Android por meio de uma variedade de malware chamada DroidLock.
Ao contrário do ransomware tradicional que criptografa arquivos, essa ameaça focada no Android emprega uma abordagem mais direta, bloqueando dispositivos com sobreposições no estilo ransomware e exigindo pagamento, enquanto mantém controle total sobre os aparelhos comprometidos.
O DroidLock se espalha principalmente por meio de sites de phishing que hospedam aplicativos enganosos. Uma vez instalado, o malware utiliza um processo de infecção em dois estágios, começando com um conta-gotas que engana os usuários para que instalem uma carga secundária contendo o código malicioso real.
Ao explorar serviços de acessibilidade e privilégios de administrador de dispositivos, o DroidLock consegue o controle quase completo do dispositivo, empregando 15 comandos distintos para se comunicar com sua infraestrutura de comando e controle (C2).
A cadeia de infecção começa com a engenharia social e não com a exploração técnica. O dropper se apresenta como um aplicativo legítimo, muitas vezes disfarçado de serviços populares como o Orange, para convencer os usuários a conceder permissões de instalação.
Uma vez executado, solicita aos serviços de acessibilidade um consentimento que Usuários do Android muitas vezes concedem sem compreender as implicações.
Com esse acesso concedido, o malware aprova automaticamente permissões adicionais para acesso a SMS, registros de chamadas, contatos e gravação de áudio sem interação adicional do usuário.
O malware aproveita a comunicação websocket e HTTP para se comunicar com seu C2 (servidor de comando e controle).
Essa técnica contorna as restrições de segurança padrão do Android, explorando a estrutura do serviço de acessibilidade, que foi projetada para ajudar usuários com deficiência, mas continua sendo um vetor de ataque comum para aplicativos maliciosos.
Intimidação estilo ransomware
Ao receber o comando apropriado de seu Servidor C2o DroidLock exibe uma sobreposição de WebView em tela inteira exibindo uma mensagem ameaçadora de ransomware.
A sobreposição exige contato imediato com os agentes da ameaça por e-mail, exigindo o ID do dispositivo da vítima para identificação.
Criticamente, o malware ameaça a destruição completa dos dados dentro de 24 horas se o pagamento não for recebido, criando pressão psicológica que leva as vítimas ao pagamento.
Embora esta variante de malware não criptografe arquivos como o ransomware tradicional, ela possui a capacidade técnica de limpar completamente o dispositivo, tornando a ameaça credível e alarmante para usuários comuns não familiarizados com conceitos técnicos de segurança.
O conjunto de comandos do DroidLock revela a extensão do comprometimento potencial. O malware pode bloquear dispositivos usando privilégios de administrador de dispositivos, alterar PINs e configurações de autenticação biométrica, realizar redefinições de fábrica e acessar remotamente telas de dispositivos por meio de conexões VNC.
O malware também captura imagens usando a câmera frontal, silencia o áudio e mantém recursos persistentes de gravação de tela que convertem o conteúdo capturado em conteúdo codificado em base64. Formato JPEG para exfiltração para servidores remotos.
Além disso, o DroidLock implementa mecanismos de roubo de credenciais por meio de duas técnicas distintas de sobreposição.
O primeiro apresenta telas com padrões de bloqueio falsos, enquanto o segundo usa sobreposições WebView carregadas com conteúdo HTML controlado pelo invasor que imita aplicativos bancários e de autenticação legítimos.
O malware mantém um banco de dados de aplicativos direcionados, recuperando e exibindo dinamicamente sobreposições apropriadas quando as vítimas abrem aplicativos específicos.
Implicações empresariais
Pesquisadores de segurança da Zimperium Observe que embora o DroidLock apresente recursos abrangentes de controle de dispositivos, sua plataforma Mobile Threat Defense detecta todas as amostras identificadas por meio de mecanismos de detecção dinâmica no dispositivo, operando no modo dia zero.
A sobreposição é colocada no topo ao receber o comandoBLACK_SCREEN_UPDATE_SYSTEM do servidor C2.
Para as empresas, as implicações são que dispositivos gravemente infectados podem interceptar senhas de uso único, alterar credenciais de segurança e transformar aparelhos corporativos em terminais hostis em redes gerenciadas.
A estrutura MITRE ATT&CK mapeia o DroidLock através de múltiplas táticas, desde o acesso inicial baseado em phishing até o acesso de credenciais, coleta, comando e controle e eventuais fases de impacto, demonstrando a sofisticação desta ameaça emergente para organizações dependentes de dispositivos móveis.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.