חוקרי חברת אבטחת המידע ESET איתרו לראשונה תוכנת כופר לאנדרואיד המנצלת את שירותי הנגישות של מערכת ההפעלה מבית גוגל. עד כה אנחנו רגילים לתוכנות כופר שמצפינות את הקבצים במכשיר אבל הווירוס הזה, מעבר להצפנת הקבצים השמורים במכשיר של הקורבן גם נועל את הסמארטפון ומחליף את קוד הגישה (PIN).
הנוזקה החדשה מכונה DoubleLocker, והיא מבוססת על סוס טרויאני לגניבת פרטי בנק ואשראי; הכופרה מנצלת לרעה את שירותי הנגישות של מערכת ההפעלה אנדרואיד אך אין לה את הפונקציות הקשורות לגניבת אישורי הבנקאות של המשתמשים ומחיקת את החשבונות שלהם. במקום זאת, יש לה שני כלים רבי-עוצמה אחרים לסחיטת כסף מהקורבנות.
DoubleLocker יכולה לשנות את סיסמת הנעילה ובכך למנוע גישה למכשיר. בנוסף באפשרותה להצפין את הקבצים והתיקיות הנמצאים על מכשיר האנדרואיד - שילוב קטלני המופיע לראשונה בווירוס למערכת ההפעלה אנדרואיד. "הודות לשורשים הטרויאנים שלה, DoubleLocker יכולה בעתיד להפוך לתוכנת 'כופר-בנקאי'. נוזקה התוקפת בשני שלבים, ראשית גונבת את פרטי הכניסה לחשבונות הבנק או PayPal ולאחר מכן נועלת את המכשיר ומצפינה את הנתונים על מנת לדרוש כופר. למעשה, כבר איתרנו גרסת מבחן של נוזקה מסוג זה בחודש מאי 2017", אמר לוקאס סטפנקו, חוקר נוזקות בחברת ESET, שזיהה את נוזקת הכופר.
בתחילת השנה דיווחה ESET על עליה של 50 אחוזים בכמות הזיהויים של נוזקות הכופר לאנדרואיד במהלך שנת 2016. השימוש הגובר בסמארטפון הופך אותו למקום אחסון לנתונים יקרי ערך והמידע הרגיש שנאגר במכשירים הופך את מתקפות הכופר לאטרקטיביות יותר עבור פושעי הסייבר. בהתאם ניתן לראות את ההתפתחות של נוזקות הכופר בתחום המובייל, אומרים בחברה.
איך להימנע מהידבקות בווירוס?
DoubleLocker מופצת בדומה לסוס טרויאני לגניבת פרטי בנק ואשראי עליו היא מבוססת. בתחילת המתקפה מגיע הקורבן לאתר זדוני או אתר שהודבק, ומתבקש להתקין תוסף מזויף של Adobe Flash Player על מנת לצפות בתוכן שבאתר. אפשר גם להידבק מסרטון שנשלח אליו לינק או אתר סטרימינג הדורש תוסף.
לאחר התקנת התוסף, הקורבן מתבקש לתת הרשאות מנהל עבור שירות מתחזה שנקרא Google Play Service. ברגע שהתוסף הזדוני מקבל את הרשאות מנהל עבור השירות שלו, הוא מגדיר את עצמו כממשק חלופי (Launcher) והמשמעות היא שהאפליקציה מנהלת את העיצוב של הממשק ושל דפי הבית במכשיר. בכל פעם שהמשתמש לוחץ על כפתור הבית מופעל שוב התוסף הזדוני שמפעיל גם את נעילת המכשיר.
קוד הנעילה החדש מוגדר כערך אקראי שאינו מאוחסן במכשיר ולא נשלח לשום מקום, ולכן אין אפשרות, לא לקורבן ולא למומחה אבטחה לשחזר את הקוד. לאחר תשלום כופר, התוקף יכול מרחוק לאפס את קוד הנעילה ולפתוח את המכשיר. DoubleLocker מצפינה את כל הקבצים מספריית האחסון הראשית של המכשיר בצירוף סיומת הקובץ Cryeye; תשלום הכופר המבוקש על מנת לשחרר את המכשיר והקבצים עומד על 0.0130 ביטקוין, שהם כיום כ-72 דולרים אותם צריך לשלם תוך 24 שעות. אם הכופר לא ישולם, הנתונים יישארו מוצפנים והמכשיר יישאר נעול.
כדי להימנע מהידבקות יש להיזהר עם התקנה של תוספים לא מוכרים, גם אם השם שלהם נשמע מוכר. עדיף להימנע מלחיצה על לינקים לא מוכרים וחשודים ובעיקר לזכור שהסמארטפון הוא מחשב לכל דבר וגם לינק שנשלח אליכם במייל עלול להוביל למפח נפש.
איך נפטרים מהנוזקה?
"עבור מרבית המשתמשים, שאינם פורצים את המכשיר או משתמשים בכלי פיתוח מיוחדים, הדרך היחידה לשחזור הגישה למכשיר היא באמצעות איפוס הגדרות היצרן", אומר אמיר כרמי, מנהל הטכנולוגיות של ESET בישראל. "באשר לתיקיות והקבצים המוצפנים, נכון לעכשיו לא ניתן לשחרר אותם. לכן חשוב לוודא שהמידע שנשמר על המכשיר מגובה לענן, ובמיוחד אנשי הקשר והתמונות שלא תמיד מסונכרנים אוטומטית לענן. כמובן שחשוב גם להתקין תוכנת אבטחה יעילה ומוכרת להגנה על המכשיר".
>> לעוד כתבות מעניינות - עקבו אחרינו גם בפייסבוק.