Zscaler découvre un ransomware sur Android
Exploitant un programme pornographique pour exiger une rançon à travers une alerte personnalisée
Le 2015-09-09 03:42:59, par Olivier Famien, Chroniqueur Actualités
Les chercheurs de la société de sécurité Zscaler viennent de découvrir une nouvelle variante d’un ransomware. Il se présente sous la forme d’une application lisant les vidéos pornographiques. Une fois que l’utilisateur installe l’application, celle-ci demande les privilèges administrateurs pour verrouiller et déverrouiller l’écran de l’appareil. Une fois que vous autorisez l’application à gérer cette fonctionnalité, l’application présente une page de mise à jour factice sans qu’aucun processus ait eu lieu en arrière-plan.
Ensuite, le malware charge un autre apk nommé test.apk à partir de l’emplacement local (/data/data/content.mercenary.chiffon/app_dex/test.apk) en utilisant une technique appelée attaque de réflexion. Pour rappel, la réflexion est une technique permettant à un programme d’examiner et de modifier sa propre structure ou son comportement à l’exécution.
Aussi pendant que la victime parcourt les images pornographiques de l’application, le programme vérifie si l’appareil photo frontal est disponible et le cas échéant active l’élément et prend une photo de la victime en toute discrétion. Ensuite, l’application test.apk se connecte aux différents domaines suivants :
et envoie les informations de l’appareil de la victime à un serveur distant. Celles-ci contiennent entre autres les détails sur la marque de l’appareil utilisé, le modèle utilisé, le fabricant, la version du système d’exploitation exécuté, la carte mère, etc.
Enfin, le serveur retourne des informations, qui une fois reçues par le téléphone, déclenchent le verrouillage de l’écran en affichant par la même occasion une page contenant la photo de la victime, des informations personnelles telles que l’adresse IP, la localisation géographique, la version d’Android ainsi qu’un message lui signifiant que son appareil a été bloqué pour des raisons de sécurité.
La victime est par ailleurs invitée à payer une amende de 500 dollars sur un compte PayPal afin que son appareil soit déverrouillé dans les 24 heures qui suivent.
Il faut préciser que l’appareil demeure verrouillé même après un redémarrage du système d’exploitation. Pour s’en débarrasser, il va falloir démarrer l’appareil en mode sans échec. Ensuite, aller dans les paramètres de configuration, sécurité, Adminitrateur de l’appareil puis sélectionner l’option désactiver pour supprimer les droits administrateurs de l’application. Dès que cela est effectué, vous pouvez maintenant désinstaller l’application.
Source : Zscaler
Et vous ?
Que pensez-vous de ce malware ?
Avez-vous déjà été victime d'un ransomware ?
Forum sécurité
Forum Android
Ensuite, le malware charge un autre apk nommé test.apk à partir de l’emplacement local (/data/data/content.mercenary.chiffon/app_dex/test.apk) en utilisant une technique appelée attaque de réflexion. Pour rappel, la réflexion est une technique permettant à un programme d’examiner et de modifier sa propre structure ou son comportement à l’exécution.
Aussi pendant que la victime parcourt les images pornographiques de l’application, le programme vérifie si l’appareil photo frontal est disponible et le cas échéant active l’élément et prend une photo de la victime en toute discrétion. Ensuite, l’application test.apk se connecte aux différents domaines suivants :
- hxxp://directavsecurity[.]com
- hxxp://avsecurityorbit[.]com
- hxxp://protectforavno[.]net
- hxxp://trustedsecurityav[.]net
et envoie les informations de l’appareil de la victime à un serveur distant. Celles-ci contiennent entre autres les détails sur la marque de l’appareil utilisé, le modèle utilisé, le fabricant, la version du système d’exploitation exécuté, la carte mère, etc.
Code : |
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 | private static jSONObject t(Context context) { jSONObject jSONObject = new jSONObject (); jSONObject.put("0", "15"); jSONObject.put("1", "4,15"); jSONObject.put("2", b(context)); jSONObject.put("3", i(context)); jSONObject.put("4", e(context)); jSONObject.put("5", f(context)); jSONObject.put("6", Build.MODEL); jSONObject.put("7", Build.MANUFACTURER); jSONObject.put("8", Build.BOARD); jSONObject.put("9", Build.BRAND); jSONObject.put("10", Build.DEVICE); jSONObject.put("11", Build.HARDWARE); jSONObject.put("12", Build.PRODUCT); jSONObject.put("13", VERSION.SDK INT); jSONObject.put("14", VERSION.RELEASE); jSONObject.put("15", j(context)); jSONObject.put("16", g(context)); jSONObject.put("17", h(context)); return jSONObject; } |
La victime est par ailleurs invitée à payer une amende de 500 dollars sur un compte PayPal afin que son appareil soit déverrouillé dans les 24 heures qui suivent.
Il faut préciser que l’appareil demeure verrouillé même après un redémarrage du système d’exploitation. Pour s’en débarrasser, il va falloir démarrer l’appareil en mode sans échec. Ensuite, aller dans les paramètres de configuration, sécurité, Adminitrateur de l’appareil puis sélectionner l’option désactiver pour supprimer les droits administrateurs de l’application. Dès que cela est effectué, vous pouvez maintenant désinstaller l’application.
Source : Zscaler
Et vous ?
-
BufferBobExpert éminentles droits admin pour matter du porno, c'est le coup du pingouin, manquerait plus qu'un popup à la fin "bravo, vous vous êtes fait bien baiser !"le 10/09/2015 à 10:32
-
ChipsAlaMentheMembre avertiJe trouve ce procédé très malin. Malhonnête mais malin !
Peut-être faudrait-il que Google essaie de faire en sorte que les applications soient limitées en demande d’autorisations sur le téléphone, ou en tout cas qu’elles ne puissent pas accéder au mode superUser. Parfois c’est tout juste s’il ne faut pas fournir le carnet de santé de sa grand-mère pour installer et utiliser une appli…le 09/09/2015 à 9:42 -
ThornaMembre éprouvéUn bon exemple: Wase ! Très pratique et très utilisée, elle a à peu près tous les droits possibles et imaginables, qui n'ont strictement rien à faire avec la navigation et les bouchons, mais fort à voir avec les pubs et autres exploitations de renseignements persos... Et donc bannie d'office, ce qui évite pas mal de soucis du genre raconté dans cette nouvelle !le 09/09/2015 à 13:20
-
Chuck_NorrisMembre émériteJe me pose une question : l'application "demande à être administrateur de l'appareil". Donc cela présuppose que le périphérique a été rooté au départ par l'utilisateur ?le 10/09/2015 à 10:06