Исследователи компании Zimperium сообщили об обнаружении нового вредоносного ПО для Android-устройств. Зловред, получивший название DroidLock, является по сути вымогательским ПО, но действует принципиально иным способом. Он не зашифровывает данные на устройстве, вместо этого он блокирует доступ к самому устройству, перекрывая экран окном с требованием выкупа, закрыть которое невозможно.

DroidLock распространяется через вредоносные сайты в глобальной сети под видом легитимных приложений. Причем основная вредоносная загрузка доставляется уже на следующем этапе после установки, под видом необходимого обновления. После этого приложение запрашивает права Device Admin и Accessibility Services, и в случае их предоставления получает фактически неограниченный контроль над устройством.

DroidLock поддерживает 15 команд. С их помощью вредоносное ПО способно запускать камеру, отключать звук, изменять PIN-код, пароль и биометрию, удалять приложения и полностью сбрасывать устройство до заводских настроек. В требовании выкупа указан адрес электронной почты организаторов атаки в сервисе Proton Mail. В случае неуплаты выкупа киберпреступники угрожают навсегда удалить все данные с устройства.

Компания Zimperium входит в App Defense Alliance корпорации Google и уже уведомила ее о существовании новой угрозы. В настоящее время защитные механизмы Play Protect идентифицируют и блокируют DroidLock на Android-устройствах, обновленных до последних версий. Пока DroidLock атакует только испаноязычных пользователей, но если киберпреступники сочтут его атаки достаточно прибыльными, расширить географию этих атак наверняка не составит особого труда. Специалисты по кибербезопасности призывают пользователей не устанавливать приложения со сторонних ресурсов, если только эти ресурсы не являются на 100 процентов заслуживающими доверия. Кроме того, необходимо крайне внимательно отнестись к разрешениям, которые запрашивают приложения, и не предоставлять права, не связанные прямым и очевидным образом с функционалом приложений.