Mentre il mondo attende la prossima grande campagna di ransomware, gli utenti Android hanno un motivo di preoccupazione in più: DoubleLocker. Secondo i ricercatori di ESET, questo ransomware si distingue dagli altri per l'esecuzione di un doppio attacco, che cifra i file personali con AES e cambia il PIN del dispositivo allo stesso tempo.
Gli attacchi informatici si moltiplicano e, come utenti, dobbiamo essere molto vigili. Il buon senso non è infallibile, come dimostrato dall'incidente di CCleaner; la maggior parte delle campagne là fuori punta su una disattenzione o sulla ricerca di determinati contenuti (ad esempio, lo streaming «gratuito» di una serie popolare). Il rischio è ancora maggiore se l'utente dipende da un dispositivo mobile, che non riceve aggiornamenti di sicurezza con la stessa frequenza di un computer medio. Ciò rende Android un bersaglio molto invitante, e l'ultimo esemplare a causare problemi è DoubleLocker, un ransomware scoperto dai ricercatori di ESET.
Come funziona DoubleLocker
Le informazioni disponibili indicano che DoubleLocker si basa sul trojan BankBot. Come suggerisce il nome, DoubleLocker esegue due attacchi: il primo cifra i file personali dell'utente con AES, il secondo modifica il PIN del dispositivo. Una volta raggiunti entrambi gli obiettivi, DoubleLocker assume il ruolo di screenlock e chiede all'utente un pagamento speciale di 0,0130 bitcoin, circa 74 dollari al momento della stesura di questo articolo.
La sua distribuzione segue una linea simile a quella di BankBot, scaricando una copia falsa di Adobe Flash Player da siti compromessi. Dopo l'apertura, richiede l'attivazione di un servizio chiamato «Google Play Service» (non «Services»). La lista dei permessi rivela chiaramente le sue intenzioni dannose, ma se qualcuno lo abilita senza leggere, beh...
Le persone infettate da DoubleLocker hanno 24 ore di tempo, altrimenti tutte le vie per decifrare i dati scompariranno. I ricercatori di ESET spiegano che, a causa della sua natura «bancaria», DoubleLocker potrebbe essere trasformato in qualcosa di peggiore, ad esempio un malware che attacca conti PayPal e bancari. L'unico modo per recuperare il dispositivo è eseguire un reset di fabbrica, a meno che non si disponga di root e della modalità di debug attiva. Ciò consentirebbe di eliminare il falso PIN tramite ADB.
(Nota della redazione: Diversi siti colleghi riportano che DoubleLocker svuota i conti PayPal, ma non è così. Il ransomware non ha capacità di harvesting nella versione attuale.)
