E安全8月4日訊，Trend Micro公司的安全研究人員們發(fā)現(xiàn)一種新型SLocker變種，它在Android平臺上直接套用加密勒索軟件WannaCry的圖形用戶界面。這一新型SLocker移動勒索軟件變種被檢測為ANDROIDOS_SLOCKER.OPSCB，它主要利用中國社交工具QQ應(yīng)用程序新功能中的持久鎖屏功能。
該惡意文件加密勒索軟件于2017年7月被研究人員發(fā)現(xiàn)并分析。SLocker直接套用了WannaCry的圖形用戶設(shè)計界面。盡管中國警方已經(jīng)逮捕了該勒索軟件的創(chuàng)始人，但其他SLocker操作者目前仍然未被逮捕歸案。
受害者主要是從QQ聊天群組當(dāng)中收取到該移動惡意軟件，且攻擊者專門針對與高人氣游戲《王者榮耀》相關(guān)的群組進行攻擊。該勒索軟件被偽裝成一款游戲作弊工具，并使用“錢來了”或者“王者榮耀修改器”等名稱。《王者榮耀》目前在中國極受歡迎，日活躍用戶5000萬，擁有約2億注冊用戶，其中1.08億的女性玩家，這個數(shù)字已超過阿根廷和加拿大的人口總和。如果玩家不慎安裝該惡意軟件，可能將導(dǎo)致個人重要資料全部丟失，給自身造成重大損失。
SLocker變種的樣本包名為“com.android.admin.hongyan”以及“com.android.admin.huanmie”。其中的“紅顏”與“幻滅”拼音常見于中國青少年人氣小說當(dāng)中。
圖一：勒索說明截屏內(nèi)容
圖二：加密文件截屏。其中提到“文件已被幻滅劫持”。
SLocker新變種的其它特性
除了軟件圖形界面之外，新變種中還包含其它一些設(shè)計變更?？稍趷阂饫账鬈浖\行之后更改設(shè)備壁紙，除此以外，這一新型SLocker病毒變體與其前身再無相似之處。與ANDROIDOS_SLOCKER.OPST不同，新版本病毒利用Android集成開發(fā)環(huán)境（簡稱AIDE）所構(gòu)建，該程序可用于直接在Android設(shè)備上開發(fā)Android應(yīng)用。值得強調(diào)的是，AIDE能夠幫助勒索軟件操作人員更為輕松地開發(fā)簡單Android軟件包（即APK），且極低的入門門檻可以吸引更多新人開發(fā)屬于自己的變種版本。
實際上，圖一所示的“ADDING GROUP”文本會將受害者重新定向至某QQ群組，并在這里溝通贖金支付方式，攻擊者以此謀取暴利。
圖三：QQ群組頁面截圖。
此頁面題為“鎖機幼稚園”，QQ群創(chuàng)建于2017年5月16日。說明宣稱，該群組的主要功能在于教授鎖機技術(shù)，且其中的源碼將不斷更新。在頁面下方另有一個按鈕，顯示“申請加群”。
除此之外，另有一段“聯(lián)系我們”文本，其中包含此前其它移動勒索軟件所不具備的勒索聲明。一經(jīng)點擊，受害者的QQ對話窗口即會彈出，可供其與勒索軟件操作人員通信以討論文件解密事宜。
通過瀏覽該疑似勒索軟件操作人員的QQ個人信息頁面，我們還發(fā)現(xiàn)其中提到要解決文件，受害者必須接聽電話并根據(jù)對方的指示進行操作。
圖四：受害者與勒索軟件操作人員間的QQ聊天窗口。
另外，此變種還特別用到了非惡意應(yīng)用程序中的合法證書，旨在避免自身被反病毒廠商列入黑名單。這些證書可以從谷歌的各Android開源項目當(dāng)中免費下載。另外，其該變種還使用合法的云存儲服務(wù)（bmob），勒索軟件操作人員可利用其變更解密密鑰。
圖五：新變種的打包結(jié)構(gòu)。
SLocke 變種如何加密文件
盡管顯示出更為高級的設(shè)計要素，但該變種本身的加密過程并不算特別復(fù)雜。雖然該病毒的前身使用HTTP、TOR或XMPP與C&C遠程服務(wù)器進行通信，新變種甚至都未使用任何C&C通信技術(shù)。
在執(zhí)行時，會隨意對SD卡上的所有文件類型進行加密，其中包括緩存、系統(tǒng)日志以及tmp文件夾等，對于移動用戶相對不太重要的數(shù)據(jù)。前代版本在加密過程中會排除此類文件，而僅針對微軟Office文檔、視頻以及圖像等更加重要的文件格式。根據(jù)樣本來看，該變種似乎使用AES加密算法與已經(jīng)過時的DES加密算法——這再次證明其技術(shù)水平相當(dāng)有限。
圖六：DES加密算法當(dāng)中的代碼片段。
持久鎖屏功能
也許是為了彌補對SD卡中所有文件進行加密的小缺陷，該新變種加入了鎖屏以拒絕訪問的功能。如果受害者點擊贖金記錄中的解密按鈕，則會彈出設(shè)備管理員界面; 而只要受害者點擊取消按鈕，該病毒將執(zhí)行持久鎖屏。如果受害者直接點擊激活按鈕，則該變種會設(shè)置或重置設(shè)備PIN碼以拒絕用戶操作。
圖七：設(shè)備管理員UI截屏。
圖八：PIN碼鎖屏截圖。
解決方案與建議
雖然這一變種的SLocker版本的加密過程存在一定程度的缺陷，但其引入的新功能進行持久鎖屏，仍然值得QQ用戶與移動游戲玩家的高度關(guān)注——勒索軟件操作人員的攻擊手段正變得日趨嫻熟。而此新變種迅速的擴散態(tài)勢亦表明，其幕后黑手并沒有放緩?fù)七M腳步。
以下建議內(nèi)容能夠防止您的設(shè)備受該勒索軟件感染 ：
不要輕信軟件誘惑而下載，多數(shù)勒索軟件都會偽裝成神器、外掛、輔助及各種刷鉆、刷贊、刷人氣的軟件，沒有任何功能，只為吸引用戶中招;
僅從谷歌Play商店等合法應(yīng)用商店處下載并安裝應(yīng)用；
請注意應(yīng)用程序要求的權(quán)限，特別是允許應(yīng)用程序在外部存儲上獲取讀取/寫入權(quán)限；
定期備份您的數(shù)據(jù)——可備份在其它安全設(shè)備或者云端；
安裝全面反病毒解決方案。
感染指標(biāo) (簡稱IOCS)
聯(lián)系客服
