Pesquisadores da empresa de cibersegurança Eset alertam para o primeiro ransomware que utiliza os serviços de acessibilidade do Android. Segundo os especialistas, além de criptografar as informações, a ameaça, chamada DoubleLocker, é capaz de bloquear o dispositivo infectado.
A empresa explica que o ransomware é baseado no código de um trojan bancário, que usa os serviços de acessibilidade do sistema operacional móvel do Google para fins maliciosos. Embora não tenha funções relacionadas à coleta de credenciais bancárias e ao esvaziamento de contas, essa ameaça possui duas ferramentas que permitem extorquir as vítimas em busca de dinheiro. Pode alterar o PIN do dispositivo e, assim, impedir que as vítimas o acessem, e também criptografa as informações encontradas no dispositivo. Uma combinação que até agora não foi vista no Android.
Lukáš Štefanko, pesquisador de malware da ESET, comenta que, por ser originalmente criado como uma ameaça bancária, o DoubleLocker pode tornar-se o que podemos chamar de ransom-bankers. “É um malware que funciona em duas etapas: primeiro, ele tenta esvaziar sua conta bancária ou PayPal e, em seguida, bloqueia seu dispositivo e suas informações para solicitar o pagamento do resgate, a primeira vez que vimos uma versão de teste de um ransom-banker desta natureza foi em maio de 2017”, explica.
O DoubleLocker se espalha exatamente igual ao trojan no qual se baseia. Geralmente, é distribuído por meio de uma versão falsa do Adobe Flash Player, carregada em sites comprometidos. Uma vez executado, o aplicativo solicita a ativação do serviço de acessibilidade de malware, chamado “Serviço Google Play” para enganar os usuários, que podem acreditar que é um serviço legítimo do Google. Depois que o malware obtém as permissões de acessibilidade, ele as utiliza para ativar os direitos de administrador do dispositivo e se estabelece como o aplicativo iniciador padrão, em ambos os casos sem o consentimento do usuário.
Confira os detalhes no vídeo:
