Investigadores de ESET descubrieron al primer ransomware que se aprovecha de los servicios de accesibilidad para Android. Además de cifrar la información, es capaz de bloquear el dispositivo.

Las soluciones de ESET lo detectan como Android/DoubleLocker.A y está basado en el código de un troyano bancario, conocido por utilizar con fines maliciosos los servicios de accesibilidad del sistema operativo móvil de Google. Sin embargo, le faltan las funciones relacionadas a la recolección de credenciales bancarias de los usuarios y el vaciado de sus cuentas. En cambio, se le añadieron dos poderosas herramientas para extorsionar a sus víctimas en busca de dinero.

DoubleLocker puede cambiar el PIN del dispositivo, evitar que las víctimas accedan al mismo y también cifrar la información que encuentra en él; una combinación que no se ha visto hasta la fecha en el ecosistema Android.

"Debido a sus raíces de amenaza bancaria, DoubleLocker bien podría convertirse en lo que podemos llamar ransom-bankers. Es un malware que funciona en dos etapas. Primero trata de vaciar tu cuenta bancaria o de PayPal y luego bloquea tu dispositivo e información para solicitar el pago del rescate. Dejando las especulaciones de lado, la primera vez que vimos una versión de prueba de un ransom-banker de este tipo in the wild fue en mayo de 2017", comentó Lukáš Štefanko, investigador de malware de ESET que descubrió a DoubleLocker.

Distribución

DoubleLocker se propaga exactamente igual que aquel troyano en el que está basado. Se distribuye generalmente a través de una versión falsa de Adobe Flash Player, subida a sitios web comprometidos.

Una vez ejecutada, la app solicita la activación del servicio de accesibilidad del malware, llamado "Google Play Service" para engañar a los usuarios, que podrían creer que se trata de un servicio legítimo de Google. Luego de que el malware obtiene los permisos de accesibilidad, los usa para activar los derechos de administrador del dispositivo y se establece a sí mismo como aplicación de Inicio (Home) por defecto, en ambos casos sin el consentimiento del usuario.

Así es como funciona:

"Establecerse a sí mismo como una aplicación de Inicio por defecto (un launcher) es un truco que mejora la persistencia del malware. Cada vez que el usuario hace clic en el botón Inicio, el ransomware se activa y el dispositivo se bloquea de nuevo. Gracias al uso del servicio de accesibilidad, el usuario no sabe que ejecuta malware pulsando Inicio", explicó Lukáš Štefanko.

Bloqueo del dispositivo y de su información

Una vez ejecutado en el dispositivo, DoubleLocker le da a la víctima dos razones para pagar el rescate, y de ahí viene su nombre. Cabe destacar que desde ESET no recomendamos pagarlo en ningún caso.

Primero, cambia el PIN del equipo, de manera que la víctima no puede usarlo. El nuevo código PIN se establece en base a un valor aleatorio, que no se almacena en el dispositivo ni se envía a otro lado, por lo que es imposible que el usuario o un experto en seguridad lo recupere. Luego de que se hace el pago, el atacante puede restablecer el PIN remotamente y desbloquear el dispositivo.

Segundo, DoubleLocker cifra todos los archivos del directorio principal de almacenamiento. Usa el algoritmo AES, añadiéndoles la extensión “.cryeye”.

El monto del rescate solicitado es 0.0130 BTC (aproximadamente 54 dólares) y el mensaje remarca que se debe pagar en el transcurso de 24 horas. Sin embargo, si no se paga, los datos permanecerán cifrados pero no se borrarán, por lo que un backup podría ser de gran utilidad.

Figura 1: Archivos cifrados en un dispositivo infectado con DoubleLocker

Figura 2: Mensaje de pedido de rescate de DoubleLocker

¿Cómo librarte de DoubleLocker?

En el pedido de rescate, se le advierte al usuario que no intente eliminar o bloquear a DoubleLocker: "Sin [el software], nunca podrás recuperar tus archivos originales". Para prevenir que el usuario elimine la amenaza, los cibercriminales incluso recomiendan deshabilitar el software antivirus.

"Este consejo es irrelevante: quienes tengan una solución de seguridad de calidad instalada en sus dispositivos estarán a salvo de DoubleLocker", comentó Lukáš Štefanko.

A quienes no tengan una solución de seguridad y necesiten limpiar este ransomware del dispositivo, el investigador les recomendó lo siguiente.

Si el dispositivo no está rooteado y no tiene ninguna solución de administración de dispositivos móviles capaz de restablecer el PIN, la única manera de eliminar el bloqueo de pantalla es a través de una restauración a los valores de fábrica (factory reset). Las opciones para hacerlo dependen de la versión de Android, pero la opción generalmente se encuentra en Ajustes → Copia de seguridad y restablecimiento → Restablecer valores de fábrica.

Si el dispositivo está rooteado, el usuario puede conectarse a él a través de Android Debug Bridge (ADB) y eliminar el archivo en el que se almacenó el PIN. Para que esto funcione, el dispositivo tiene que tener habilitado el debugging: Ajustes → Opciones de desarrollador → USB Debugging.

Así, se eliminará el PIN o contraseña de bloqueo de pantalla y el usuario podrá acceder al dispositivo. Luego, operando en modo seguro, puede desactivar los derechos de administrador del malware y desinstalarlo. En algunos casos, se necesita reiniciar el equipo.

"DoubleLocker es una razón más para que los usuarios de dispositivos móviles tengan una solución de seguridad de calidad instalada y hagan backup de su información regularmente", concluyó Lukáš Štefanko.