Ransomware versleutelt bestanden en verandert pin op Android-telefoons

Onderzoekers van beveiligingsbedrijf ESET hebben Android-ransomware ontdekt die ze de naam DoubleLocker hebben gegeven. Deze variant versleutelt bestanden en verandert de pincode van een apparaat om zo betaling af te dwingen.

Volgens de onderzoekers maakt de malware gebruik van de toegankelijkheidsopties van Android om zichzelf beheerdersrechten toe te kennen. Daarvoor vraagt de malware toegang tot de Google Play Service. Op deze manier kan de malware zichzelf bovendien elke keer opnieuw activeren als het slachtoffer op de Home-knop drukt. ESET schrijft dat de malware wordt verspreid door middel van overgenomen sites en dat deze variant zich voordoet als een Flash Player-app.

Als DoubleLocker eenmaal de nodige rechten heeft verkregen, kan de ransomware de pincode van het apparaat van het slachtoffer door een willekeurige code vervangen, die niet wordt opgeslagen of verzonden. Daarom zou het voor het slachtoffer of een onderzoeker niet mogelijk zijn om de code te achterhalen. Daarnaast versleutelt de malware bestanden in de hoofddirectory met aes-encryptie, die volgens de onderzoekers geen fouten in de implementatie bevat.

Op die manier wil de ransomware betaling van losgeld afdwingen. Dat komt neer op 0,013 bitcoin, wat bij de huidige prijs rond de 50 euro is. Het slachtoffer krijgt 24 uur om te betalen, maar na het verlopen van die termijn worden de versleutelde gegevens volgens ESET niet verwijderd. De ransomware zou alleen van een geïnfecteerd apparaat af te halen zijn door het terug te zetten naar de fabrieksinstellingen.

Als de kwaadaardige software nog niet is geactiveerd, kan dit op een geroot toestel ook door verbinding te maken via adb en het systeembestand met de pincode te verwijderen en de beheerdersrechten van de app in te trekken in de veilige modus.

Door Sander van Voorst

Nieuwsredacteur

13-10-2017 • 17:16

60

Submitter: KingFrogzz

Reacties (60)

60
57
33
8
1
15
Wijzig sortering
Hmm. Zo te zien moet je dus wel eerst een vage app downloaden (of tenminste uit een niet play store), vervolgens toegang tot Apparaatbeheer geven.

Dus twee keer een menselijke fout maken....
Dat je die vage app wilt downloaden uit onbekende bron is eigenlijk helemaal niet gek.

Sinds 2012 ondersteunen Adobe & Google geen Flash meer op android. Flashplayer apps uit de officiele PlayStore werken allemaal niet. Wil je wel flash hebben, dan moet je de speler sowieso al jaren sideloaden uit onbekende bron.
Of je kan gewoon Puffin Browser gebruiken voor flash content - ik speel The Settlers Online, wat helaas nog steeds volledig flash-based is, en dat werkt prima op mijn telefoon en tablet in Puffin(onder de Pro versie, of Flash ook werkt in de gratis versie weet ik niet zeker). Gewoon uit de play store, je hoeft niets te sideloaden
Lijkt er wel op: Puffin Web Browser free:
* The Latest Flash: We keep improving our cloud servers, and provide the latest version of the Flash player over the cloud.
Daarnaast zijn er ook landen waar geen Play store beschikbaar is, zoals China. Daar is het voor gebruikers dus normaal zelf apps te downloaden.
Maar waarom zou je dat nog doen?
Dat vraag ik me ook af. Wie mist Flash nou nog op Android? En de digibetische gebruikers die geen flauw idee hebben wat flash is zullen denk ik vaste apps gebruiken die over het algemeen prima werken zodat ze nooit zullen proberen om een dergelijke app te installeren. Ik besef me dat het percentage niet nul is, maar het aantal infecties dat op deze manier zal optreden lijkt me wel erg laag..
Dat is niet helemaal waar want op de website van Adobe hebben ze hier gewoon een officiele guide voor. (https://helpx.adobe.com/f...ayer-android-devices.html)
Als je iets wilt hebben dat nergens in de officiele store zit, dan zou er toch een lampje moeten gaan branden.

En als je dan toch zoiets wilt, moet je misschien nadenken of je er wel voldoende verstand van hebt om dat te doen. Ik ben redelijk handig, maar ik download niets buiten de play store en dan nog zo min mogelijk.
Flash? Wat is dat ook alweer?

Is dat niet het logge, trage, systeembronvretende zo-lek-als-een-mandje spul uit de jaren '90?

Ook op een desktop valt Flash beter zoveel mogelijk te vermijden. Op de telefoon is het ontbreken van Flash mogelijkheid helemaal de perfecte reden om het nooit meer te hoeven gebruiken.

Ja, het heeft een doel en een tijd gehad, maar Flash is al jaren een dood paard.
+3

Dit moet natuurlijk in het artikel worden vermeld!
Ik vind de grootste fout dat dit mogelijk is... Dat is nog altijd wel een nadeel van open source software..
Anoniem: 981211 @Manyuken13 oktober 2017 18:09
Dat is nog altijd wel een nadeel van open source software..
Vandaar ook dat er over de hele historie van Windows (altijd closed source geweest) letterlijk honderden miljoenen machines waar Windows op geinstalleerd is geweest zijn geinfecteerd geraakt met het een of ander en er voor waarschijnlijk ook honderden miljoenen euro's schade is aangericht door malware. [ / sarcasme ]

Terwijl het aantal echte outbreaks op, bijvoorbeeld, Linux gebaseerde PC distributies (bijna allemaal open source, want, GPL) nagenoeg op de vingers van 1 hand vallen te tellen en het aantal geinfecteerde machines in die outbreaks bijzonder laag is in vergelijking met Windows.

Het probleem is niet zozeer open source. Het probleem is de aandacht die het betreffend systeem heeft. Ieder systeem heeft kwetsbaarheden, open source, closed source, firmware, etc, etc, etc. Hoe meer gebruikers het heeft, hoe interessanter het is om er malware voor te bakken en dus ook hoe meer malware er voor wordt gebakken. En Android is nu eenmaal met grote voorsprong het meest gebruikte OS in de wereld ( https://en.wikipedia.org/...hare_of_operating_systems ). Sjah, dan is het niet zo gek dat het onder de aandacht komt van mensen met kwade bedoelingen.
Ook maar een hand vol (consumenten) machines draait Linux.... dus totaal niet interessant om virus of malware voor te schrijven.

Overigens zijn er de afgelopen jaren best veel malware meldingen geweest op NAS apparaten, die draaien meestal ook Linux, als je naar het percentage zou gaan kijken zou het me niets verbazen als er procentueel veel Linux infecties zijn geweest de laatste paar jaar.

Professionele Linux installaties worden vaak goed bijgehouden, dus daar valt ook weinig te halen.

Windows is gewoon makkelijk scoren wegens de grote aantallen installaties. Er is altijd een aantal gebruikers die niet up to date zijn...
De vergelijking met Windows heeft denk ik veel meer te maken met niet gepatchte risico's. Heel veel Windows systemen draaien niet de laatste versie. Bij Linux systemen weten de gebruikers beter hoe ze up to date moeten blijven.

iOS is bijvoorbeeld ook closed source met een grote doelgroep maar daar zijn vrijwel geen infecties in het wild te vinden.
Die zijn er wél, maar worden snel (en breed verspreid) gepatched inderdaad
Meestal wordt er binnen 1 week een lek gevonden als er een nieuwe IOS uitkomt, dat er daar "vrijwel geen infecties zijn" is een fabeltje.
Eerlijk gezegd is het prima dat dit mogelijk is.

Het bedrijf waar ik voor werk, stuurt wel eens gevoelige informatie per mail. Als ik deze mail op mijn mobiel wil ontvangen, moet ik daarvoor een app downloaden die precies hetzelfde kan (Mobile@Work).

De app forceert dat de mailopslag versleuteld wordt, precies zoals deze malware doet. Fijn!

Als ik dan mijn telefoon verlies, kunnen de vertrouwelijke gegevens gewist worden, en kan de telefoon worden vergrendeld, net als deze malware kan. Fijn!

Kortom, het zijn features die nodig zijn, en als een app vraagt om het apparaatbeheerder recht (dat hiervoor nodig is), moet je OF die app volledig vertrouwen, of goed gek zijn om door te gaan met de installatie.
Dit heeft niks te maken met open-source software. Als Android closed-source was geweest (met exact dezelfde code), dan was dit ook gebeurd.
Anoniem: 405779 @mzziol13 oktober 2017 18:38
Precies, sommige mensen snappen niet helemaal dat de controle mogelijkheden op open source veel groter zijn. De echte fout zit bij de mensen zelf die overal maar op klikken en zich niks aantrekken van de bron.
Dus het is ook fout dat je op een Windows computer custom software kan installeren?
Niet fout maar al jaar en dag met het gekende risico op problemen als het vage installers zijn...
Volgens mij snap je niet 100% wat open source betekent. Het gaat in deze om de API die het platform aanbied, of Android nou OSS is of niet.
Er staat al onder de vereiste: erease all data. Je bent dan echt enorm dom bezig als je dit negeert en een app zulke toestemmingen wilt geven.
Het is wat aan de knullige kant, zo staat er ook een installer van adobe terwijl bovenin staat Activate device administrator ... Hier geef je administrator toegang al weg.

Dit is ook al hoe slecht je het bekijkt, goud. Niet alleen voor diegene die apps schrijven die je telefoon locken maar ook antivirussen en antimalware paketten steeds meer interessanter gaan worden voor op de tel. Ik vind dat men met telefoons gewoon terug moet naar de basis ermee. Kijk naar iOS bijv, daar heb je die bullshit niet.
Tja, mensen moeten lezen wat er staat en dat doet lang niet iedereen want dat kost tijd en "meestal gaat het wel goed". Zo krijg je als Tweaker in de familie altijd die vragen als "Waarom is Google niet meer mijn zoekmachine", nadat ze zelf aan een Chrome extensie toestemming gaven te installeren...

Smartphones worden inmiddels meer gebruikt dan computers (of in ieder geval door de gemiddelde persoon in mijn omgeving) en dus gaan mensen met kwade bedoelingen zich daar op focussen. De slachtoffers en hun gedrag is immers weinig verandert, het gebeurd alleen op een nieuw platform.

Gunstig voor de kwaadaardigen, want smartphone software blijft veranderen (kijk bijvoorbeeld naar Android 2.3 vs 5.1 vs 7), en zelfs bij dezelfde Android versie zitten er nog kleine verschillen tussen merken, waardoor de gemiddelde digibeet hier nog minder van snapt dan van Windows 7.

Dit gebeurt trouwens ook best wel op iOS hoor:
https://twitter.com/KrauseFx/status/917736145353695232
Alleen kan een app op een iPhone veel moeilijker tot geen toegang krijgen om bijvoorbeeld zomaar alles te vergrendelen of verwijderen.

[Reactie gewijzigd door Fero op 24 juli 2024 03:18]

Tja, mensen moeten lezen wat er staat en dat doet lang niet iedereen want dat kost tijd en "meestal gaat het wel goed". Zo krijg je als Tweaker in de familie altijd die vragen als "Waarom is Google niet meer mijn zoekmachine", nadat ze zelf aan een Chrome extensie toestemming gaven te installeren...
Ik wil niemand beledigen en ik hoop dat de reactie goed gaat, dit doe ik nooit eigenlijk. Maar goed, het is wel dat wij als 'tweakers' weten wat we wel en niet moeten doen, dat mensen die dat niet zijn dat meestal niet kunnen weten. Klopt misschien is iets beter lezen verstandig, maar ik ken zat mensen die er gewoon geen verstand van hebben en niet beter weten dat het geen kwaad kan. Dat moet je ze niet kwalijk nemen. Maar daar zijn we toch 'tweaker' voor? Om het uit te leggen? :). Soms moeten mensen zich verplaatsen in wat ze niet zijn, dan kan een heleboel ellende voorkomen, en dat bedoel ik gewoon in het algemeen hoor :).

Uit eindelijk valt alles te kraken, alleen mensen moet het willen inderdaad. En ja als Android misschien makkelijker is dan iOS. Dan is het misschien wel logisch. Corrigeer me mocht iets niet kloppen :).
Wij Tweakers weten niet altijd wat we doen (lijkt mij inherent aan een Tweakers mindset-we experimenteren graag), we hebben echter wel een betere inschatting van de risico’s. Zo zou ik nooit met een zakelijke telefoon gaan rotzooien, maar privé (en een goede backup van de foto’s) wil ik best wel eens wat experimenteren.

[Reactie gewijzigd door mjl op 24 juli 2024 03:18]

Wij Tweakers weten niet altijd wat we doen (lijkt mij inherent aan een Tweakers mindset-we experimenteren graag), we hebben echter wel een betere inschatting van de risico’s. Zo zou ik nooit met een zakelijke telefoon gaan rotzooien, maar privé (en een goede backup van de foto’s) wil ik best wel eens wat experimenteren.
Klopt, dat is eigelijk wel waar. Ik bedoelde ook vooral richtingen de mensen die er totaal niks van weten, de niet-tweakers. Maar zoals je zegt inderdaad, we hebben inderdaad een betere inschatting :). En ik bedoelde ook meer wat jij zei, alleen met toaal andere woorden. Dat is inderdaad ook het verstandigst.
Die Apple vulnerability is trouwens wel heel gevaarlijk, smerig en lastig af te vangen. Grote plus is dat Apple MFA verplicht sinds iOS 11, maar daar zit nog ‘maar’ 50% van de gebruikers op. (‘Maar’ tussen aanhalingstekens want vergeleken met het aantal gebruikers op Oreo ronduit lachwekkend).

Ik ben benieuwd óf en hóe Apple deze aan gaat pakken, maar de persoon die dit bedacht heeft is wel echt briljant. Eigenlijk supersimpel, maar wat zouden veel mensen hier in trappen...
Iemand kan in bepaalde dingen heel slim zijn, en op andere gebieden behoorlijk "dom", zo is het nou eenmaal.
En zo zit het. Je kunt nou eenmaal niet van elk vakgebied verstand hebben. Door menig Tweaker wordt er altijd maar vanuit gegaan dat iedereen verstand moet hebben van apparatuur, maar als daarentegen thuis de kraan lekt weten ze niet waar ze het moeten zoeken.
nee, maar 'gezond verstand' is wel een beetje een must. Als je wil autorijden, leer je dat ook eerst. Niet in het minste om je rijbewijs te behalen. Zonder rijopleiding ben je hoogstwaarschijnlijk niet alleen een gevaar voor jezelf, maar ook voor anderen die zich op de baan begeven.

Leer met technologie omgaan. Het is een (belangrijk) deel van vele levens. Om even een analogie te maken met mijn rijopleiding/rijexamen voorbeeld:
"zonder rijopleidingkennis van hedendaagse technologie ben je hoogstwaarschijnlijk niet alleen een gevaar voor jezelf, maar ook voor anderen die zich op de baanhet internet begeven"

Het gros van de botnets zijn zombiepc's die niet (vaak genoeg) updaten "omdat het irritant is". Virussen worden binnengehaald en verspreid door mensen die geen flauw idee hebben wat ze aan het doen zijn. En dan durven ze de schuld nog van zich afschuiven als ze na het kijken van wat porno ineens met ransomware zitten en de babyfoto's kwijt zijn geraakt omdat ze geen backup hebben. En je helpt (al dan niet onbedoeld) mee aan de verspreiding ervan. Stel dat je dan iemand infecteerd die op zijn beurt zijn trouwfoto's verliest? Die persoon heeft eigenlijk maar 2 mensen om kwaad op te zijn: De persoon die het vertikt zijn software updates uit te voeren ("want waarom zou ik, duurt allemaal veel te lang en ik heb er niets aan") en het virus/worm verspreidt en zichzelf, omdat het meestal perfect te voorkomen is.

Tja, als je je auto niet onderhoudt/laat onderhouden, zit de kans erin dat je nooit problemen hebt. Maar de kans dat je remmen het eens begeven en jezelf rond een boom plooit is net wat groter.

Ik wil nu echt niet zeggen dat iedereen ineens een expert op het gebied van IT en tech moet worden (want dan zit ik zonder job). Je garagehouder weet ook meer van je auto dan per se nodig is om zo'n ding te kunnen besturen. Maar wat verantwoordelijkheid(sgevoel) mag wel hoor.

[Reactie gewijzigd door Tokkes op 24 juli 2024 03:18]

Van jou moeten er meer komen op Tweakers. Overgens, ouderen zijn hier ook enorm de dupe van, aangezien menig 45+er hier geen kwaat in ziet.
Ik denk dat 45+, zoals ik zelf, de pc opkomst hebben meegemaakt en persoonlijk ben ik heel kritisch met links en downloads.. Misschien 65+ dan...
Ik zei ook menig, natuurlijk heb je ze er tussen zitten die dat wel hebben. Punt is dat Tokkes gelijk heeft: deze site is voor gevorderden ITers en hobbyisten, maar dat wil niet zeggen dat iedereen die ergens intrapt gelijk afgezeikt dient te worden.
Met alle cloud services heb ik weinig bestanden op mijn smartphone staan die ik echt wil behouden. Een factory reset zou voor mij hier dus geen probleem zijn in tegenstelling tot mijn computer waar ik bepaalde bestanden niet constant gebackupped heb.
Tenzij de sync alle bestanden op de cloud ook versleuteld neerzet ;). De meeste consumenten cloud storage diensten maken geen backups.
Hier ben ik het ook mee eens.
Ik wissel zo vaak van telefoon dat ik ook alles kant en klaar heb staan.
Een factory reset is even irritant maar een uurtje later is het wel weer in orde.
Op mijn computer ook, maar daar zit mijn backup op een externe HD. Die worden, als ik het goed doorheb, ook mee versleuteld.

Maar niet iedereen doet dit.
Een vriend vroeg mij hoe hij nog een back-up kon maken want hij had zijn telefoon laten vallen en zijn scherm werkte niet meer.
Ik gaf aan dat hij dit altijd moet doen, back-ups maken, en hoe hij het dan nog kon doen.
Hij heeft die dan laten repareren zonder zijn stuff kwijt te spelen, iets erna laat hij zijn telefoon weer vallen, terug kapot.
Vraagt hij of ik zo een connector heb want hij had nog geen back-up gemaakt.

Dan vraag je je toch wat af....
Dat is dan een jonge persoon die nog redelijk hoog opgeleid is en geen technologie analfabeet is.

Ik vrees dus dat de meeste mensen zo geen back-ups hebben.

Wat echt idioot is want voor je telefoon is dat zo gemakkelijk...
backups op je externe harde schijf... Als dat echt backups zijn, maak je van die externe schijf "cold storage". Niet aan je PC hangen dus tenzij je backups moet bijnemen of terugzetten.
Indeed,

Mijn foto’s staan op Google Photos en nog op Onedrive.

Muziek heb ik backups van, alles wat belangrijk is dat ik op mijn telefoon download of ontvang, gaat direct naar Gdrive en/of Onedrive.

Meeste apps hebben ook cloud backup.

Echt, geen probleem voor mij, grootste taak zou de gigabytes aan muziek en video’s (concerten, series, cartoons en films) weer op mijn SD kopiëren als ik deze zou moeten formatteren.
Dat wordt dus allemaal geencrypt. Je hebt het waarschijnlijk te laat door om het proces te stoppen.
Een backup van je cloud is ook nodig.
De manier om je toestel dan te herstellen via ADB in plaats van het terug te zetten naar de fabrieksinstellingen kan alleen als je telefoon de RSA key heeft opgeslagen. Heb je nog niet eerder een adb verbinding gehad, wat in 95% van de gevallen zo is dan heb je dus alsnog pech.
en dat deze variant zich voordoet als een Flash Player-app
Vreemd dat mensen dit dan toch gaan installeren, flash wordt als sinds 4.1 niet meer ondersteund.
Anoniem: 87301 @hcQd13 oktober 2017 22:10
Ik denk dat de meesten mensen dat niet weten. Net zoals wij ook niet alles weten.
In de reacties van meerdere tweakers, wordt gezegd dat het wel héél erg het je eigen menselijke fout is als het je overkomt dat je deze malware installeert.

Maar zo gek vind ik het niet dat mensen het toch doen.
Android & Adobe ondersteunen zelf geen Flash meer op android vanaf 2012. Veel tweakers weten dit wel en komen weinig nog op sites die 'Flash-Only' zijn, veel gebruikers zonder technische kennis weten niet dat Flash + Android niet kan.

Die gebruikers kunnen best met hun surfgedrag die bij 'toeval' een op een site of oude web-applicatie komen die vereist dat je eerst Flash installeert. Dat dan direct doen via de link op zo'n flash-pagina werkt niet want Adobe Flash is PC-only. Met de meest logische vervolgstap een Flash Player downloaden uit de Play Store, ga je wel heel veel apps + bevoegdheidsschermen tegenkomen maar ook geen succes hebben.

Wil je dan nog echt die flash content zien op die site die je bezoek, dan is de enige manier Flash te 'downloaden van het internet' sideloaden. Dit kan (mits je installatie van apps uit onbekende bron toestaat) volgens Adobe. Maar het kan ook dat je als computer-leek dat als je zoekt, je niet bij de officiele Adobe bron uit komt maar bij een aanbieder van de Malware.

Na een aantal niet werkende flash-spelers uit de playstore geïnstalleerd te hebben, kan ik mij voorstellen dat een onoplettende gebruiker ook niet heel scherp zal zijn op weer een bevoegdheden scherm van deze malware. Eenmaal deze software geïnstalleerd, ben je direct de sjaak.

Dus zo gek is het misschien dat android gebruiker met wat mindere kennis, - die toch graag zijn flash-applicatie wilt zien- slachtoffer wordt van deze malware. Google beheert Google Play services, waar deze malware ook gebruik van maakt. Ik hoop dat ze voor die service snel komen met een update, die deze malware onschadelijk maakt.

[Reactie gewijzigd door 3x3 op 24 juli 2024 03:18]

Heb je de screencast ook gezien? Als "onwetende gebruiker" moet je toch aardig wat stappen doorlopen:
  • Via instellingen onbekende bronnen toestaan en popup met waarschuwing wegdrukken
  • Naar fishy website gaan, app downloaden en begrijpen hoe je die dan installeert
  • Permissie geven om play service te gebruiken
  • Daarna nog eens speciale permissie geven voor (en dan gebruik ik alleen de bold tekst)
    - Erase all data
    - Change the screen unlock password
    - Set password rules
    Allen ook voorzien van uitleg wat dat inhoudt.
Gaat er dan nooit in dat proces een keer een belletje rinkelen van "is dit nou wel nodig om een site uit het jaar kruik te bekijken"?

Het is niet dat het 2 klikken en klaar - oeps! is ofzo.

Kijk, het blijft zuur natuurlijk, maar als er bij mij 's avonds laat een onbekend persoon aanbelt die mij een cheque wil overhandigen van een loterij die ik niet ken, maar om dat te doen heeft hij wel mijn alarmcode en mijn huissleutel nodig, dan kwak ik gewoon de deur voor zijn neus dicht.
Het virus doet zichzelf voor als een update voor Adobe Flash Player. Gebruikers moeten die wel zelf installeren, en daarvoor moeten ze de mogelijkheid inschakelen om externe apps te installeren.

Vooral in China, waar de officiële applicatiewinkel van Android niet beschikbaar is, is dat populair, maar ook onder mensen die illegale Android-apps willen draaien.
Tja, dan vraag je er ook bijna om, zeker als je niet weet waar je mee bezig bent. O-)

Bron: https://nos.nl/artikel/21...n-android-gebruikers.html

[Reactie gewijzigd door Fiber op 24 juli 2024 03:18]

Anoniem: 372172 13 oktober 2017 17:54
Mijn Nokia 6 draait op Android 7.1.1 en daarnaast heb ik Norton Mobile Security geinstalleerd :) Dus dat zit wel goed denk ik.
ik zou zeggen, probeer eens! ;P
ik zou zeggen, probeer eens! ;P
Hoe graag ik dat zou willen weten, raadt ik het wel af ;)

De meeste van die scanners beginnen al te piepen als je een sideloading wil doen.
Zelfs apps van f-droid krijg je soms niet geinstalleerd.
Dat is geen veiligheid, dat is doodgewoon 'bedrog'
In de ogen van zo'n scanner is alles wat ook maar iets van 'extra' wil toevoegen al malware.

( als je alleen maar een hamer hebt, is elk probleem een spijker idee )
Huh? Flash op android flash heeft op mobiel vlak verloren tegenover html5. Dus hier niet intrappen.
Weg met die flash bagger. Op mijn laptop doe ik het ook totaal zonder flash. En heb ik het toch nodig, dan ben ik weg.
Huh? Flash op android flash heeft op mobiel vlak verloren tegenover html5. Dus hier niet intrappen.
Dank je voor de waarschuwing :?

Op dit item kan niet meer gereageerd worden.