Les chercheurs de zLabs ont découvert que DroidLock se propage via des sites web de phishing et s’installe grâce à une application leurre conçue pour contourner les protections Android et exploiter les services d’accessibilité. Une fois en place, le malware accorde automatiquement les autorisations nécessaires pour accéder aux SMS, aux journaux d’appels, aux contacts, aux enregistrements audio etc... et ce, à l’insu de l’utilisateur.
Une fois implanté, DroidLock communique avec son serveur de commande et de contrôle via des canaux HTTP et websocket. Grâce à ces échanges, les attaquants peuvent exécuter plus de 15 commandes différentes, ce qui leur permet de :
● Verrouiller l’appareil ou modifier le code PIN/mot de passe
● Effacer les données de l’appareil en le réinitialisant aux paramètres d’usine
● Capturer discrètement une photo de la victime à l’aide de la caméra frontale
● Désactiver les notifications et restreindre les interactions utilisateur
● Diffuser l’écran de l’appareil et le contrôler à distance via VNC
● Affichez des superpositions en plein écran de type ransomware exigeant un paiement dans les 24 heures
Une tactique notable consiste à utiliser deux mécanismes de superposition pour voler les schémas de verrouillage et les identifiants des applications. DroidLock déploie rapidement des superpositions en mémoire pour capturer les schémas de déverrouillage de l’écran, tandis que des superpositions basées sur WebView affichent du code HTML contrôlé par l’attaquant afin de collecter les identifiants des applications ciblées. Le malware affiche également un faux écran de mise à jour du système Android afin d’empêcher les victimes d’éteindre leur appareil ou d’interrompre l’attaque.
Bien que la superposition du ransomware ne crypte pas les fichiers, DroidLock peut effacer entièrement le contenu de l’appareil, bloquant définitivement l’accès aux utilisateurs et permettant au cybercriminel d’exercer un contrôle durable.
« Pour les entreprises, un appareil compromis devient un terminal hostile. DroidLock peut intercepter les codes d’accès à usage unique, modifier les identifiants de l’appareil, effacer les données et contrôler à distance l’interface utilisateur. Les entreprises ont besoin de solutions de sécurité mobile capables de bloquer ces attaques avant qu’elles ne perturbent leurs opérations ou ne permettent la prise de contrôle de comptes. » a déclaré Vishnu Pratapagiri, Security Researcher chez Zimperium et auteur de l’analyse.
