Ny Android-malware stjäl data och låser sedan din telefon

Vad som gör denna hybridattack mellan malware och ransomware annorlunda

Säkerhetsforskare har identifierat en ny stam av Android-malware som inte passar in i en enda kategori. Istället för att bara stjäla information eller låsa en enhet för lösensumma gör den här varianten båda. Först samlar den tyst in data från en infekterad telefon, för att sedan övergå till ransomware-beteende, låsa enheten eller dess filer och kräva betalning innan åtkomst återställs.

Denna tvåstegsstrategi gör hotet mer skadligt än någon av taktikerna var för sig. Ett offer som betalar lösensumman för att återfå åtkomst till sin telefon kan fortfarande ha fått personliga filer, foton, meddelanden eller kontouppgifter kopierade och skickade till angripare innan låsskärmen ens dök upp. Traditionella råd som "återställ bara från en säkerhetskopia och ignorera lösensumman" löser bara halva problemet när datastölden redan har skett i bakgrunden.

Den här typen av blandad attack är inte helt utan precedensfall. Forskare inom mobilsäkerhet har tidigare flaggat för liknande hot med dubbla syften, inklusive Mantax Otax, en Android-malware-stam som avslöjades av Zimperium som också kombinerade flera attackmetoder istället för att hålla sig till en enda spelbok. Framväxten av ytterligare en hybridstam tyder på att detta håller på att bli en medveten strategi för cyberbrottslingar, inte ett isolerat experiment.

Hur Android-användare blir infekterade och vilken data som riskeras

Android-malware av detta slag sprids vanligtvis genom välbekanta kanaler: sidoladdade appar från utanför officiella Play Store, skadliga länkar som skickas via sms eller meddelandeappar, och förklädda appuppdateringar som begär överdrivna behörigheter under installationen. När den väl är installerad kan malwares programvaran begära bred åtkomst till lagring, kontakter, konton och behörigheter för enhetsadministratör, behörigheter som tekniskt sett är nödvändiga för vissa legitima appar men som ofta missbrukas för att möjliggöra både dataexfiltrering och skärmlåsningsbeteende.

Vad som riskeras beror på vilka behörigheter malwares programvaran lyckas säkra. Kontaktlistor, foton, sparade lösenord och appdata är vanliga mål under stöldfasen, medan ransomware-komponenten kan låsa hela enheten eller kryptera specifika filer, vilket i praktiken tar telefonen som gisslan. Eftersom attacken utvecklas i etapper kanske offren inte inser att något är fel förrän lösensumman dyker upp, och vid det laget kan data redan ha lämnat enheten.

Praktiska försvar: apphygien, behörigheter och säkerhetskopior

Den goda nyheten är att grunderna inom mobilsäkerhet fortfarande gäller, och de är fortfarande mycket effektiva mot den här typen av hot. Några vanor gör en betydande skillnad:

• Håll dig till officiella appbutiker. Sidoladdade appar från okända källor är den vanligaste ingångspunkten för Android-malware, inklusive hybrider som denna.
• Granska behörigheter noggrant. Om en ficklampsapp eller ett enkelt verktyg begär åtkomst till kontakter, lagring eller behörigheter för enhetsadministratör är det en varningsflagga värd att ta på allvar.
• Håll Android och appar uppdaterade. Säkerhetsuppdateringar stänger ofta precis de sårbarheter som malware utnyttjar för att få förhöjd åtkomst.
• Underhåll regelbundna säkerhetskopior. Moln- eller offlinesäkerhetskopior stoppar inte datastöld, men de neutraliserar hävstångseffekten av ett ransomware-lås, eftersom du inte behöver betala för att återställa dina filer.
• Installera en pålitlig mobil säkerhetsapp. Även om inget enskilt verktyg fångar allt, tillför en säkerhetsapp som skannar efter misstänkt beteende ett betydelsefullt lager av försvar ovanpå goda vanor.

Ingen av dessa åtgärder kräver teknisk expertis, och tillsammans hanterar de båda halvorna av en hybridattack: stölden och låsningen.

Varför offentligt Wi-Fi och osäkra anslutningar ökar insatserna

Att ladda ner appar eller klicka på länkar medan du är ansluten till offentligt Wi-Fi tillför ytterligare en risknivå. Osäkra nätverk gör det lättare för angripare att avlyssna trafik eller omdirigera användare mot skadliga nedladdningar förklädda som legitima appuppdateringar. Eftersom denna malware delvis bygger på att lura användare att installera något de inte borde, ger en oskyddad anslutning på ett kafé, flygplats eller hotell angripare mer spelrum.

Att använda en VPN när du surfar eller laddar ner appar på offentliga nätverk krypterar din trafik och gör det betydligt svårare för någon på samma nätverk att manipulera eller spionera på din anslutning. Det är inte en ersättning för noggrann apphygien, men det stänger av ytterligare en väg som angripare använder för att leverera malware från första början.

Vad detta innebär för dig

Uppgången av Android-malware-ransomware-attacker som kombinerar stöld och utpressning innebär att antivirusprogram ensamt inte räcker. Användare behöver skiktat skydd: noggrant val av appkällor, medvetenhet om behörigheter, regelbundna säkerhetskopior och säkra surfvanor. Fall som denna nya hybridstam, och tidigare exempel som Mantax Otax, visar att mobila hot utvecklas snabbare än ett enda försvarsverktyg kan hänga med i.

Handlingsbara slutsatser

• Ladda endast ner appar från officiella butiker och kontrollera behörigheter före installation.
• Säkerhetskopiera din enhet regelbundet så att ett ransomware-lås förlorar sin hävstångseffekt.
• Håll ditt operativsystem och dina appar uppdaterade för att täppa till kända sårbarheter.
• Använd en VPN på offentligt Wi-Fi för att minska risken för skadliga omdirigeringar vid nedladdningar eller surfning.
• Håll dig informerad om framväxande hybridhot, eftersom angripare i allt högre grad kombinerar taktiker istället för att förlita sig på en enda metod.