Ao analisar os ransomwares móveis entre abril de 2015 e abril de 2016, o Federico Maggi (Pesquisador senhor de ameaças da Trend Micro) notou em sua pesquisa um grande aumento no número de amostras de ransomware Android. Durante esse ano, o número de ransomwares Android aumentou em 140%. Em certas áreas, o ransomware móvel é responsável por até 22% dos malwares móveis em geral! Uma tendência notada durante este período é que isso reflete de forma muito parecida a trajetória dos ransomwares tradicionais: assim como outros tipos de ransomware, o ransomware móvel evolui e cresce constantemente.
Quais aspectos tornam o ransomware móvel mais complicado? Bloqueios e Medos
A família SMSLocker (detectada como ANDROIDOS_SLOCKER ou ANDROIDOS_SMSLOCKER) foi o início do que agora denominamos de ransomware Android. Originalmente esta família não usava criptografia, mas simplesmente escondia os arquivos dos usuários. A variante de 2015 usava criptografia com senhas por dispositivo, o que dificultava criar uma opção genérica para "desbloquear". A mesma usa principalmente o SMS para se comunicar com o comando e controle (C&C); algumas variantes usam o Tor. A maior contribuição do SLocker para o ransomware móvel foi a exploração do API UI do Android para bloquear a tela do dispositivo. Foi a primeira vez que o Federico viu um malware assumiu o comando de um dispositivo através desta técnica, que pode ser resumida da forma abaixo com base no acionamento do API KeyEvent.Callback:
Ao vincular as funções de retorno no onKeyDown() e/ou no onBackPressed() ,
Figura 1. Documentação da função onKeyDown () na lista de índice de pacotes do Android
Após a obtenção de uma classe de Cifra , a amostra percorre todos os arquivos encontrados no cartão SD e os criptografa. Este efeito é semelhante ao ransomware na plataforma Windows: os arquivos que foram armazenados no dispositivo ficam agora inacessíveis.