New DroidLock malware locks Android devices and demands a ransom

DroidLock : Malware Android Rançonnant

Une nouvelle menace Android, baptisée DroidLock, permet aux cybercriminels de bloquer les appareils pour exiger une rançon. Ce malware peut également consulter les SMS, l’historique des appels, les contacts, enregistrer l’audio ou même effacer des données. Il est capable de prendre le contrôle total d’un appareil via le partage VNC et de subtiliser le schéma de déverrouillage de l’utilisateur en superposant une fausse interface à l’écran.

DroidLock cible principalement les utilisateurs hispanophones. L’infection débute par un “dropper” qui trompe l’utilisateur pour installer une charge utile secondaire contenant le véritable malware. Les applications malveillantes demandent ensuite des permissions d’administrateur de l’appareil et d’accessibilité, leur conférant la capacité d’effectuer des actions frauduleuses telles que le verrouillage de l’appareil, la modification du code PIN, du mot de passe ou des données biométriques, empêchant ainsi l’accès à l’appareil.

Ce logiciel malveillant prend en charge 15 commandes distinctes, incluant l’envoi de notifications, l’affichage d’un écran superposé, la mise en sourdine de l’appareil, sa réinitialisation aux paramètres d’usine, le déclenchement de l’appareil photo, ou encore la désinstallation d’applications. Une fois la commande de rançon reçue, un écran superposé s’affiche, exigeant le paiement d’une rançon dans les 24 heures sous peine de destruction permanente des données. Bien que DroidLock ne crypte pas les fichiers, il simule une perte de données en menaçant de les supprimer. Il peut également subtiliser le schéma de déverrouillage de l’utilisateur via une interface clonée, facilitant ainsi l’accès à distance via VNC.

Points clés :

• Fonctionnalité principale : Verrouillage d’appareils Android et demande de rançon.
• Capacités supplémentaires : Accès aux messages, historique des appels, contacts, enregistrements audio, effacement de données.
• Méthode d’infection : Distribution via des sites web malveillants proposant de fausses applications, initialement via un “dropper”.
• Piratage : Demande de permissions d’administrateur de l’appareil et d’accessibilité.
• Vol de schéma : Superposition d’une interface pour capturer le schéma de déverrouillage.
• Contrôle à distance : Utilisation du système VNC.
• Ciblage : Utilisateurs hispanophones.
• Menace : Menace de destruction définitive des données si la rançon n’est pas payée.

Vulnérabilités :

• Aucune CVE spécifique n’est mentionnée dans l’article. Les vulnérabilités exploitées sont liées aux autorisations demandées par les applications et à la capacité de superposer des interfaces frauduleuses.

Recommandations :

• Ne pas installer d’applications (fichiers APK) provenant de sources externes à Google Play Store, sauf si l’éditeur est fiable.
• Vérifier systématiquement les permissions demandées par une application pour s’assurer qu’elles sont justifiées par ses fonctionnalités.
• Utiliser régulièrement Google Play Protect pour analyser l’appareil.

Source