Android-Malware Slocker in neuer Version

Slocker ahmt WannaCry nach

Es waren die Sicherheitsforscher von Trend Micro, die die neue Version der Android-Malware Slocker entdeckten. Wie zdnet.de dazu weiter ausführte, ahmt die Malware die Oberfläche der Ransomware WannaCry nach. Als Verbreitungsweg gelten Chat-Gruppen des chinesischen Social Network, speziell die Liebhaber des angesagten Spiels King of Glory, das rund 200 Millionen registrierte Nutzer hat.

Slocker ist in der Lage Dateien auf einem Android-Smartphone zu verschlüsseln. Die Sicherheitsforscher von Trend Micro hatten bereits im Juli die Erpressersoftware entdeckt. Auch wurden deren Entwickler von den chinesischen Behörden schon verhaftet. Wie dazu verlautet soll das aber Nachahmer nicht davon abgehalten haben, die Malware weiterzuentwickeln.

Neue Variante mit AIDE Tool entwickelt

Die neue Variante soll mit der Android Integrated Development Environment (AIDE) entwickelt worden sein, einem Tool zur Erstellung von Android-Apps direkt auf einem Android-Gerät. Dazu teilte Trend Micro mit:

„Es ist wichtig darauf hinzuweisen, dass AIDE es für Ransomware-Betreiber einfacher macht, einfache Android Package Kits (APKs) zu entwickeln und die Einfachheit des Tools kann Neulinge ermutigen, eigene Varianten zu entwickeln“

Die Lösegeldforderung

Der Aufbau der Lösegeldforderung:

• Die Lösegeldforderung enthalte sogar einen Link zu einer QQ-Gruppe mit dem Titel „Lock-Phone Kindergarten“, in der die Entwicklung von Ransomware erklärt werde.
• Es gebe auch einen „Kontakt“-Link, der ebenfalls die QQ-Anwendung öffne – offenbar um Hilfe für die Entschlüsselung der Dateien anzufordern.
• In seinem QQ-Profil fordert der Ransomware-Betreiber seine Opfer auf, bei einem eingehenden Anruf die Anweisungen zu befolgen.

Die Verschlüsselung

Die Verschlüsselung der aktuellen Variante soll weniger ausgefeilt sein als beim Vorgänger:

• Verschlüsselt werden alle Dateien der SD-Karte, inklusive der unwichtigen temporären Dateien.
• Neben dem Verschlüsselungsalgorithmus AES kommt auch der veraltete DES-Algorithmus zum Einsatz.

Neu ist die permanente Übernahme des Home-Bildschirms eines Android-Geräts, die wie folgt abläuft:

• Tippt ein Opfer auf den „Entschlüsseln“-Button der Lösegeldforderung, erscheint eine Abfrage zur Aktivierung eines Geräteadministrators.
• Ein Klick auf „Abbrechen“ führt dazu, dass die Abfrage erneut eingeblendet wird.
• Versucht ein Opfer die Abfrage durch Tippen auf „OK“ loszuwerden, gewährt es der Ransomware Administratorrechte.
• Die nutzt sie, um die Geräte-PIN zu ändern und den Nutzer endgültig aus einem Gerät auszusperren – während die Lösegeldforderung als Hintergrundbild auf dem Sperrbildschirm angezeigt wird.