DroidLock cho phép kẻ tấn công kiểm soát hoàn toàn thiết bị của nạn nhân thông qua hệ thống chia sẻ VNC và có thể đánh cắp mẫu khóa thiết bị bằng cách đặt một lớp phủ lên màn hình.

Theo các nhà nghiên cứu tại Công ty bảo mật di động Zimperium, phần mềm độc hại này nhắm mục tiêu vào người dùng nói tiếng Tây Ban Nha và được phát tán thông qua các trang web độc hại quảng bá các ứng dụng giả mạo, mạo danh các gói phần mềm hợp pháp. Trong một báo cáo mới đây, Zimperium cho biết quá trình lây nhiễm bắt đầu bằng việc đánh lừa người dùng cài đặt phần mềm có chứa payload độc hại.

Các ứng dụng nhúng mã độc thông qua yêu cầu cập nhật, sau đó yêu cầu quyền Quản trị thiết bị và Dịch vụ trợ năng, cho phép chúng thực hiện các hoạt động lừa đảo. Một số hành động mà mã độc có thể thực hiện bao gồm xóa dữ liệu, khóa thiết bị, thay đổi mã PIN, mật khẩu hoặc dữ liệu sinh trắc học để ngăn người dùng truy cập vào thiết bị.

Phân tích của Zimperium cho thấy, DroidLock hỗ trợ 15 lệnh cho phép nó gửi thông báo, đặt lớp phủ lên màn hình, tắt tiếng thiết bị, khôi phục cài đặt gốc, khởi động camera hoặc gỡ cài đặt ứng dụng.

Các lệnh được DroidLock hỗ trợ

Mã độc tống tiền được hiển thị qua WebView ngay sau khi nhận được lệnh tương ứng, hướng dẫn nạn nhân liên hệ với kẻ tấn công qua địa chỉ email Proton. Nếu người dùng không trả tiền chuộc trong vòng 24 giờ, kẻ tấn công đe dọa sẽ xóa vĩnh viễn các tệp tin.

Lớp phủ đòi tiền chuộc của DroidLock

Zimperium nhấn mạnh DroidLock không mã hóa các tệp tin, mà bằng cách đe dọa phá hủy chúng nếu không nhận được tiền chuộc, mục đích tương tự đã đạt được. Ngoài ra, kẻ tấn công có thể từ chối quyền truy cập vào thiết bị bằng cách thay đổi mã khóa.

DroidLock có thể đánh cắp mẫu khóa thông qua một lớp phủ khác được tải từ các tài nguyên của APK độc hại. Khi người dùng chạm mẫu khóa mở màn hình trên giao diện sao chép, thông tin này sẽ được gửi trực tiếp cho kẻ tấn công.

Là thành viên của Liên minh Phòng thủ Ứng dụng của Google, Zimperium chia sẻ những phát hiện phần mềm độc hại mới với nhóm bảo mật Android, nhờ đó Play Protect phát hiện và chặn mối đe dọa này trên các thiết bị được cập nhật đầy đủ.

Do đó, người dùng Android được khuyến cáo không nên cài đặt APK từ các nguồn bên ngoài Google Play, trừ khi nhà phát hành là nguồn đáng tin cậy. Đồng thời, nên luôn kiểm tra xem các quyền mà phần mềm yêu cầu có phục vụ mục đích của ứng dụng hay không, cũng như định kỳ rà quét thiết bị của mình bằng Play Protect.