Black Rose Lucy Back-Ransomware AndroidOS

Χρόνος διαβασματός: 3 πρακτικάΕπισκόπηση

Μία από τις πρώτες φορές που το κοινό έγινε μάρτυρας και συνειδητοποίησε τη δύναμη του ransomware ήταν όταν ξέσπασε το WannaCry το 2017. Η κυβέρνηση, η εκπαίδευση, τα νοσοκομεία, η ενέργεια, οι επικοινωνίες, η κατασκευή και πολλοί άλλοι βασικοί τομείς υποδομής πληροφοριών υπέστησαν άνευ προηγουμένου απώλειες. Κοιτάζοντας πίσω, αυτή ήταν μόνο η αρχή , καθώς από τότε υπήρξαν πολλές εκδόσεις, όπως για παράδειγμα SimpleLocker, SamSam και WannaDecryptor.

Το Comodo's Threat Research Labs έλαβε νέα ότι το ransomware «Black Rose Lucy» έχει νέες παραλλαγές που επιτίθενται στο AndroidOS.

Το κακόβουλο λογισμικό Black Rose Lucy δεν διέθετε δυνατότητες ransomware τη στιγμή που ανακαλύφθηκε από το Check Point τον Σεπτέμβριο του 2018. Εκείνη την εποχή, η Lucy ήταν ένα botnet και dropper για συσκευές Android. Τώρα, επιστρέφει με νέες δυνατότητες ransomware που του επιτρέπουν να αναλάβει τον έλεγχο των μολυσμένων συσκευών για να τροποποιήσει και να εγκαταστήσει νέες εφαρμογές κακόβουλου λογισμικού.

Κατά τη λήψη, η Lucy κρυπτογραφεί τη μολυσμένη συσκευή και ένα μήνυμα λύτρων εμφανίζεται στο πρόγραμμα περιήγησης, το οποίο υποστηρίζει ότι είναι μήνυμα από το Ομοσπονδιακό Γραφείο Ερευνών των ΗΠΑ (FBI) λόγω πορνογραφικού περιεχομένου που βρέθηκε στη συσκευή. Το θύμα έχει εντολή να πληρώσει πρόστιμο 500 $ εισάγοντας στοιχεία πιστωτικής κάρτας, αντί της πιο κοινής μεθόδου Bitcoin.

Εικόνα 1. Η Lucy ransomware χρησιμοποίησε εικόνες πόρων.

 

Ανάλυση

Το ερευνητικό κέντρο Comodo Threat συνέλεξε δείγματα και πραγματοποίησε ανάλυση όταν συνειδητοποιήσαμε ότι η Black Rose Lucy επέστρεψε.

Κιβώτιο ταχυτήτων

Μεταμφιεσμένη ως μια κανονική εφαρμογή αναπαραγωγής βίντεο, μέσω συνδέσμων κοινής χρήσης πολυμέσων, εγκαθίσταται αθόρυβα όταν κάνει κλικ ένας χρήστης. Η ασφάλεια Android εμφανίζει ένα μήνυμα που ζητά από τον χρήστη να ενεργοποιήσει τη Βελτιστοποίηση ροής βίντεο (SVO). Κάνοντας κλικ στο «OK», το κακόβουλο λογισμικό θα αποκτήσει άδεια προσβασιμότητας υπηρεσίας. Μόλις συμβεί αυτό, η Lucy μπορεί να κρυπτογραφήσει τα δεδομένα στη συσκευή του θύματος.

Εικόνα 2. Μήνυμα εξαπάτησης της Lucy popup

 

Φορτίο

Μέσα στη μονάδα MainActivity, η εφαρμογή ενεργοποιεί την κακόβουλη υπηρεσία, η οποία στη συνέχεια καταχωρεί έναν BroadcastReceiver που καλείται από την εντολή action.SCREEN_ON και, στη συνέχεια, καλεί τον εαυτό του.

Αυτό χρησιμοποιείται για την απόκτηση της υπηρεσίας «WakeLock» και «WifiLock»:

WakeLock: που διατηρεί ενεργοποιημένη την οθόνη της συσκευής.
WifiLock: που διατηρεί το wifi ενεργοποιημένο.

Εικόνα 3.

 

C&C

Σε αντίθεση με τις προηγούμενες εκδόσεις κακόβουλου λογισμικού, το TheC&Cservers είναι ένας τομέας, όχι μια διεύθυνση IP. Ακόμα κι αν ο διακομιστής είναι αποκλεισμένος, μπορεί εύκολα να επιλύσει μια νέα διεύθυνση IP.

 

 

Εικόνα 4. Διακομιστές C&C

Εικόνα 5. Η Lucy χρησιμοποιεί διακομιστές C&C

Εικόνα 6: The Lucy Command & Control

 

Κρυπτογράφηση/Αποκρυπτογράφηση

 

Εικόνα 7: Κατάλογος συσκευών Git

 

 

 

Εικόνα 8: Λειτουργία κρυπτογράφησης/αποκρυπτογράφησης Lucy

 

Λύτρα

Μόλις η Lucy κρυπτογραφήσει τη μολυσμένη συσκευή, εμφανίζεται ένα μήνυμα λύτρων στο πρόγραμμα περιήγησης, το οποίο υποστηρίζει ότι το μήνυμα προέρχεται από το Ομοσπονδιακό Γραφείο Ερευνών των ΗΠΑ (FBI), λόγω πορνογραφικού περιεχομένου που βρέθηκε στη συσκευή. Το θύμα λαμβάνει εντολή να πληρώσει πρόστιμο 500 $ εισάγοντας πληροφορίες πιστωτικής κάρτας, αντί της πιο κοινής μεθόδου Bitcoin.

Χαρακτηριστικά

Οι κακόβουλοι ιοί έχουν εξελιχθεί. Είναι πιο διαφορετικοί και αποτελεσματικοί από ποτέ. Αργά ή γρήγορα, το mobile θα είναι μια τεράστια πλατφόρμα επίθεσης ransomware.

Συμβουλές για την πρόληψη

1.Λήψη και εγκατάσταση μόνο αξιόπιστων εφαρμογών
2. Μην κάνετε κλικ σε καμία εφαρμογή άγνωστης προέλευσης,
3.Δημιουργήστε τακτικά, μη τοπικά αντίγραφα ασφαλείας σημαντικών αρχείων,
4.Εγκαταστήστε λογισμικό προστασίας από ιούς

Σχετικοί πόροι

Κατάργηση κακόβουλου λογισμικού ιστότοπου

Σαρωτής κακόβουλου ιστότοπου

Ο ορθοστάτης Black Rose Lucy Back-Ransomware AndroidOS εμφανίστηκε για πρώτη φορά σε Comodo Ειδήσεις και Πληροφορίες Ασφάλειας Διαδικτύου.

• Coinsmart. Το καλύτερο ανταλλακτήριο Bitcoin και Crypto στην Ευρώπη.
• Platoblockchain. Web3 Metaverse Intelligence. Ενισχύθηκε η γνώση. ΕΛΕΥΘΕΡΗ ΠΡΟΣΒΑΣΗ.
• CryptoHawk. Ραντάρ Altcoin. Δωρεάν δοκιμή.
• Πηγή: https://blog.comodo.com/malware/black-rose-lucy-back/