Το FLocker (Frantic Locker) είναι ένα ransomware για Android που όπως φαίνεται “αποφάσισε” να αλλάξει συσκευή. Το κακόβουλο λογισμικό είναι πλέον σε θέση να μολύνει και να κλειδώσει έξυπνες τηλεοράσεις (smart TVs) που λειτουργούν με το λειτουργικό σύστημα Android.
Το FLocker (Frantic Locker) ransomware εμφανίστηκε το Μάιο του 2015, και η Trend Micro αναφέρει ότι εντοπίστηκε πάνω από 7.000 διαφορετικές εκδόσεις, καθώς ο κώδικας του συνεχίζει να εξελίσσεται.
Μόνο τον Απρίλιο του 2016 η Trend Micro αναφέρει ότι εντόπισε πάνω από 1.200 παραλλαγές του FLocker και γενικότερα παρατήρησε μια ορατή ανάπτυξη στην ώθηση του κακόβουλου λογισμικού.
Η Trend Micro δεν το έχει επιβεβαιώσει, αλλά η οθόνη που ζητάει τα λύτρα φαίνεται να είναι παρόμοια με αυτή που χρησιμοποιείται από το Cyber.Police (Dogspectus) ransomware. Τον Απρίλιο, περίπου την ίδια εποχή που παρατηρήθηκε η έξαρση στην ανάπτυξη του FLocker, το Blue Coat και το Zimperium ανέφεραν ότι το Cyber.Police έχει αποκτήσει την ικανότητα να μολύνει συσκευές Android χωρίς να χρειάζεται κάποια αλληλεπίδραση από τον χρήστη.
Έτσι λοιπόν και η πιο πρόσφατη εξέλιξη στις δυνατότητες του FLocker σύμφωνα με την Trend Micro είναι ότι μπορεί να εξαπλωθεί μέσω ανεπιθύμητων μηνυμάτων SMS που περιέχουν κακόβουλες συνδέσεις.
Μόλις λοιπόν κάποιος κατεβάσει το ransomware μέσω αυτών των συνδέσμων, το κακόβουλο λογισμικό κρύβεται για 30 λεπτά. Αυτό φυσικά το κάνει για την αποφυγή εργαλείων ανάλυσης ιών. Ο κακόβουλος κώδικας είναι κρυμμένος σε ένα αρχείο HTML στο εσωτερικό του φακέλου “Assets.” Αυτό το αρχείο κρύβει ένα αρχείο DEX με τις κακόβουλες ρουτίνες.
Μετά τα πρώτα 30 λεπτά το Flοcker ξεκινά την εχθρική του συμπεριφορά απέναντι στον χρήστη ζητώντας να του δώσει δικαιώματα διαχειριστή. Εάν ο χρήστης αρνηθεί, το FLοcker παγώνει την οθόνη με ένα ψεύτικο μήνυμα για ενημέρωση του συστήματος για να τρομάξει τον χρήστη και να του δώσει την απαιτούμενη πρόσβαση.
Όταν αποκτήσει το FLοcker προνόμια διαχειριστή, θα αρχίσει να “μιλάει” με τον διακομιστή C&C (διοίκησης και ελέγχου), από όπου κατεβάζει και άλλο APK μαζί με το σημείωμα για τα λύτρα, σε μορφή HTML & JS.
Το FLοcker εμφανίζει το σημείωμα για τα λύτρα σε ολόκληρη την οθόνη και ξεκινά την λειτουργία του δεύτερου APK, το οποίο κρυπτογραφεί τα αρχεία της συσκευής με ένα κλειδί κρυπτογράφησης AES.
Ενώ στο παρελθόν το FLοcker χτυπούσε μόνο κινητές συσκευές, οι πρόσφατες εκδόσεις έχουν αρχίσει να κρυπτογραφούν δεδομένα και σε έξυπνες τηλεοράσεις (smart TVs) που λειτουργούν με Android OS.
Το Android OS που τρέχει σε κινητές συσκευές και smart TVs είναι διαφορετικά, και έτσι δεν είναι απαραίτητο ότι όλα τα κακόβουλα προγράμματα για Android θα μπορούν να τρέχουν και στα δύο. Είναι προφανές ότι οι απατεώνες πρόσθεσαν αυτή τη λειτουργία.
Το FLocker ζητά από τους χρήστες 200 δολάρια σε κάρτες δώρων μέσω του iTunes και αποφύγει να τρέχει σε συσκευές που βρίσκονται στις ακόλουθες χώρες: Καζακστάν, Αζερμπαϊτζάν, Βουλγαρία, Γεωργία, Ουγγαρία, Ουκρανία, Ρωσία, Αρμενία, και Λευκορωσία.
