Ny DroidLock-ransomware tar full kontroll over Android-enheter

Android-brukere står overfor en ny og aggressiv ransomwaretrussel etter at sikkerhetsforskere avdekket DroidLock, en skadevarevariant som kan ta nær total kontroll over infiserte enheter. I motsetning til tradisjonell mobil ransomware er DroidLock ikke avhengig av filkryptering. I stedet misbruker den Androids systemtillatelser for å låse brukere helt ute og gi angripere fjernkontroll over enheten.

Forskere advarer om at skadevarens utforming gjør den særlig farlig, ettersom den kombinerer ransomware-taktikker med full overtakelse av enheten.

Hvordan DroidLock infiserer Android-enheter

DroidLock sprer seg via ondsinnede nettsteder som utgir seg for å være legitime nedlastingssider for apper. Ofrene lures til å installere en såkalt dropper-applikasjon, ofte forkledd som en systemoppdatering eller et sikkerhetsverktøy. Når den er installert, distribuerer dropperen den primære skadevarelasten i bakgrunnen.

Deretter presser skadevaren brukerne aggressivt til å gi høyrisikotillatelser, inkludert tilgjengelighetstjenester og enhetsadministrator-tilgang. Disse tillatelsene gjør det mulig for DroidLock å omgå Androids standard sikkerhetsmekanismer og eskalere kontrollen uten å utnytte programvaresårbarheter.

Når tillatelsene er gitt, deaktiverer DroidLock systemnavigasjon, undertrykker varsler og hindrer brukere i å få tilgang til enhetsinnstillinger.

Full enhetsovertakelse uten filkryptering

I motsetning til klassisk ransomware krypterer ikke DroidLock filer for å presse ofre til å betale. I stedet låser den skjermen med et vedvarende overlegg som ikke kan fjernes. Skadevaren kan endre enhetskoder, tilbakestille låseskjermer og blokkere biometrisk tilgang.

Forskere har også bekreftet at DroidLock kan utføre fjernkommandoer sendt av angripere. Denne funksjonen gjør det mulig for operatører å slette enheter, fange skjermaktivitet og overvåke brukeratferd i sanntid. I enkelte tilfeller kan skadevaren strømme enhetens skjerm til en ekstern server.

Ofrene mottar løsepengekrav med instruksjoner om å kontakte angriperne via e-post, der en unik enhetsidentifikator brukes som referanse.

Hvorfor DroidLock er spesielt farlig

DroidLock viser hvordan moderne mobil skadevare i økende grad baserer seg på sosial manipulering fremfor tekniske utnyttelser. Ved å overtale brukere til frivillig å gi tillatelser får angripere legitim systemtilgang som er vanskelig å reversere.

Når skadevaren først er installert, blir fjerning svært krevende uten en full fabrikktilbakestilling. For brukere som lagrer sensitiv informasjon, bankapper eller arbeidsrelaterte data på telefonene sine, kan konsekvensene bli alvorlige.

Sikkerhetsanalytikere påpeker at selv om den tidlige aktiviteten ser ut til å være geografisk begrenset, er teknikkene DroidLock benytter lett tilpasningsdyktige for bredere kampanjer.

Hvordan brukere kan redusere risikoen

Forskere oppfordrer Android-brukere til å unngå å installere apper fra uoffisielle kilder og til å se på uventede tillatelsesforespørsler som varselsignaler. Erotiske apper krever sjelden omfattende tilgjengelighets- eller administratorrettigheter for å fungere.

Å holde enheter oppdatert og regelmessig gjennomgå tildelte tillatelser kan bidra til å redusere eksponeringen. Ved mistanke om infeksjon kan en full tilbakestilling av enheten være nødvendig for å gjenvinne kontrollen.

Konklusjon

DroidLock markerer et skifte i mobil ransomware-taktikker, der filkryptering erstattes med full enhetskontroll. Ved å misbruke betrodde systemtillatelser gjør skadevaren Androids egne funksjoner til våpen mot brukerne. Kampanjen understreker behovet for økt bevissthet rundt misbruk av tillatelser etter hvert som mobile trusler fortsetter å utvikle seg.