يستخدم Android ransomware الجديد للحصول على امتيازات للحصول على امتيازات المسؤول

تطبيقات تشفير الملفات الفدية التي تستهدف أجهزة أندرويد أصبحت معقدة على نحو متزايد. يستخدم أحد هذه البرامج الجديدة تقنيات الانتخاب لخداع المستخدمين في منحه امتيازات المسؤول.

Clickjacking هي طريقة تتضمن معالجة واجهة المستخدم بطريقة تسمح للمهاجمين باختطاف نقرات المستخدمين وإطلاق إجراءات غير مصرح بها. يتم استخدامه في الغالب في الهجمات المستندة إلى الويب ، حيث تسمح تقنيات مختلفة بإنشاء أزرار غير مرئية ووضعها فوق عناصر الصفحة التي تبدو غير ضارة.

نظرًا لنظام الأذونات المقيدة للتطبيقات في Android ، فإن تطبيقات Ransomware التي تستهدف نظام التشغيل كانت أقل تاريخًا فعالة من على ويندوز. على سبيل المثال ، عرضت العديد من تهديدات Android ransomware المبكرة فقط نافذة ثابتة على الشاشة مع تنبيه يهدف إلى تخويف المستخدمين إلى دفع غرامات وهمية. معظمهم من وكالات إنفاذ القانون منتهكة وادعى أن الأجهزة تم قفلها لأنه تم العثور على محتوى غير قانوني عليها.

[المزيد من القراءة: كيفية إزالة البرامج الضارة من جهاز الكمبيوتر الخاص بك ويندوز]

مع مرور الوقت ظهرت متغيرات أكثر عدوانية مشفرة أيضا الملفات على قسم التخزين وكانت أصعب بكثير لإلغاء التثبيت. ومع ذلك ، للعمل على النحو المنشود ، تحتاج هذه المتغيرات إلى وصول "مسؤول الجهاز".

يتطلب تمكين هذه الميزة تأكيدًا من مالك الجهاز من خلال مربع حوار "تنشيط جهاز المشرف" الخاص الذي يظهر بعد تثبيت أحد التطبيقات. للحصول على موافقة المستخدمين ، فإن معظم تطبيقات ransomware - والتي عادة ما تتنكر على أنها تطبيقات مشروعة - تعتمد على الهندسة الاجتماعية ، على سبيل المثال من خلال المطالبة بالحصول على أعلى مستوى للوصول إلى إحدى الوظائف التي يدعون أنها توفرها.

وفقًا لباحثين من سيمانتيك ، المبدعين الفدية ransomware الآن إلى المستوى التالي. هناك تهديد جديد يطلق عليه Android.Lockdroid.E يسيء إلى الأنواع المختلفة من النوافذ التي يمكن أن تطلقها تطبيقات أندرويد ، كما قالوا في مدونة يوم الأربعاء.

بمجرد التثبيت ، تقوم أداة Lockdroid.E ransomware بتشغيل مربع حوار تنشيط مسؤول الجهاز ، ولكنها تعرض أيضًا نافذة TYPE_SYSTEM_ERROR تتضمن رسالة تدعي أنه يتم فك مكون إضافي. يعرض Android هذا النوع المحدد من النوافذ فوق جميع النوافذ الأخرى ، وبالتالي يغطي مربع حوار مسؤول الجهاز.

بعد بضع ثوانٍ ، يعرض التطبيق نافذة أخرى تستخدم TYPE_SYSTEM_OVERLAY والتي تغطي أيضًا مربع حوار مشرف الجهاز. تحتوي هذه النافذة الثانية على الرسالة "اكتمل التثبيت" وزر يسمى "متابعة".

الزر "متابعة" زائف فعلاً لأن نوافذ TYPE_SYSTEM_OVERLAY غير مصممة لتلقي مدخلات واجهة المستخدم مثل الصنابير. ومع ذلك ، يتم وضعه بشكل مثالي أعلى زر "تأكيد" من مربع حوار تنشيط مشرف الأجهزة المخفي.

وبسبب هذا ، عندما ينقر المستخدمون على "متابعة" ، يتم نقل الإجراء فعليًا إلى نافذة مسؤول الجهاز تحته ، وعلى وجه التحديد زر "تأكيد".

البدء بـ Android 5.0 (Lollipop) نوعي الحوار اللذين لم تعد تعرضهما هذه البرامج من برنامج "رانسومواري" في أعلى مربعات حوار أذونات النظام مثل تلك الخاصة بمسؤول الجهاز. ومع ذلك ، فالأخبار السيئة هي أن ثلثي أجهزة Android لا تزال تعمل بالإصدارات الأقدم من 5.0 ، وفقًا لأحدث الإحصاءات من Google Play.

"لم يتم العثور على التطبيق الضار على Google Play وربما يتم تنزيله من تطبيق تابع لجهة خارجية المتاجر ، أو المنتديات ، أو مواقع تورنت ، "قال الباحثون سيمانتيك. "المستخدمون الذين لديهم Google Play مثبتون محميون من هذا التطبيق عن طريق Verify Apps حتى عند تنزيله خارج Google Play. تنصح Symantec المستخدمين بتنزيل التطبيقات من متاجر التطبيقات الموثوق بها فقط."