DroidLock: Ransomware mit Zusatz-Features für Android-Smartphones

Eine neu entdeckte Android-Malware sorgt derzeit für erhebliche Un­ruhe in der IT-Sicherheitsbranche: DroidLock kann infizierte Smart­phones nicht nur sperren und für ein Lösegeld wieder frei­ge­ben, sondern auch umfassend ausspionieren.

Wieder über Sideloading-Apps

Sicherheitsforscher des Mobile-Security-Unternehmens Zimperium haben die Malware analysiert und warnen vor einer professionell organisierten Kampagne, die sich aktuell vor allem gegen spanischsprachige Nutzer richtet. Dies kann sich allerdings schnell ändern, wenn die Gewinne aus diesem Bereich nachlassen.

Verbreitet wird DroidLock über manipulierte Webseiten, die gefälschte Apps anbieten und sich als vertrauenswürdige Anwendungen tarnen. Nach Erkenntnissen der Experten beginnt der Angriff mit einem sogenannten Dropper, der Nutzer dazu verleitet, eine vermeintliche Aktualisierung oder Zusatzfunktion zu installieren. Hinter diesem "Update" verbirgt sich jedoch der eigentliche Schadcode. Anschließend fordert die App weitreichende Berechtigungen an, etwa den Zugriff auf die Geräteadministration und die Bedienungshilfen. Damit erhält das Schadprogramm praktisch uneingeschränkte Kontrolle über das Smartphone.


Mit diesen Rechten kann DroidLock eine Vielzahl kritischer Aktionen ausführen: Das Gerät sperren, den PIN oder das Passwort ändern, biometrische Daten zurücksetzen, Apps deinstallieren oder das System auf Werkseinstellungen zurücksetzen. Insgesamt unterstützt die Malware laut Zimperium 15 unterschiedliche Befehle, darunter auch das Stummschalten des Geräts oder das Starten der Kamera.

Der Schadcode kann auch eine täuschend echte Überlagerung auf dem Bildschirm einblenden, um etwa das Entsperrmuster des Nutzers abzugreifen. Wird dieses Muster eingegeben, landet es direkt beim Angreifer - eine Voraussetzung für den späteren Fernzugriff über das VNC-Protokoll.

Google reagiert

Für die Erpressung blendet DroidLock eine Lösegeldforderung ein, die über WebView übertragen wird. Die Opfer sollen innerhalb von 24 Stunden Kontakt zu einer Proton-Mail-Adresse aufnehmen und zahlen, sonst würden persönliche Dateien unwiederbringlich zerstört, heißt es da. Zwar verschlüsselt die Malware die Daten nicht, doch durch die Drohung und die Sperre des Geräts entsteht ein vergleichbarer Erpressungsdruck.

Zimperium hat die Erkenntnisse an Googles Sicherheitsteam weitergegeben. Dank der Zusammenarbeit im Rahmen der App Defense Alliance erkennt Play Protect die schädlichen Anwendungen inzwischen und blockiert sie auf aktuellen Geräten. Nutzer sollten dennoch vorsichtig bleiben: APK-Dateien von Drittanbietern sollten nur aus absolut vertrauenswürdigen Quellen installiert und die vergebenen Berechtigungen jeder App sollten kritisch geprüft werden.
Siehe auch: