Onderzoekers van beveiligingsbedrijf ESET hebben Android-ransomware ontdekt die ze de naam DoubleLocker hebben gegeven. Deze variant versleutelt bestanden en verandert de pincode van een apparaat om zo betaling af te dwingen.
Volgens de onderzoekers maakt de malware gebruik van de toegankelijkheidsopties van Android om zichzelf beheerdersrechten toe te kennen. Daarvoor vraagt de malware toegang tot de Google Play Service. Op deze manier kan de malware zichzelf bovendien elke keer opnieuw activeren als het slachtoffer op de Home-knop drukt. ESET schrijft dat de malware wordt verspreid door middel van overgenomen sites en dat deze variant zich voordoet als een Flash Player-app.
Als DoubleLocker eenmaal de nodige rechten heeft verkregen, kan de ransomware de pincode van het apparaat van het slachtoffer door een willekeurige code vervangen, die niet wordt opgeslagen of verzonden. Daarom zou het voor het slachtoffer of een onderzoeker niet mogelijk zijn om de code te achterhalen. Daarnaast versleutelt de malware bestanden in de hoofddirectory met aes-encryptie, die volgens de onderzoekers geen fouten in de implementatie bevat.
Op die manier wil de ransomware betaling van losgeld afdwingen. Dat komt neer op 0,013 bitcoin, wat bij de huidige prijs rond de 50 euro is. Het slachtoffer krijgt 24 uur om te betalen, maar na het verlopen van die termijn worden de versleutelde gegevens volgens ESET niet verwijderd. De ransomware zou alleen van een geïnfecteerd apparaat af te halen zijn door het terug te zetten naar de fabrieksinstellingen.
Als de kwaadaardige software nog niet is geactiveerd, kan dit op een geroot toestel ook door verbinding te maken via adb en het systeembestand met de pincode te verwijderen en de beheerdersrechten van de app in te trekken in de veilige modus.