WannaCry-Ransomware-Nachahmer zielt auf Android-Smartphones ab

Ein WannaCry-ähnlicher Virus verschlüsselt Dateien auf dem externen Speicher von Android-Smartphones.

Es scheint, dass die WannaCry-Ransomware zu einer Inspirationsquelle für viele Gauner auf der ganzen Welt geworden ist. Wir hatten kürzlich berichtet, wie ein 14-jähriger Teenager aus Japan, der von der Schadsoftware beeindruckt war, letzte Woche verhaftet wurde, weil er eine Malware entwickelt hat, die der WannaCry-Malware ähnlich ist.

Jetzt haben Cyberkriminelle in China eine Android-Ransomware entwickelt, die ähnliche Grafiken wie WannaCry verwendet und die Nutzer dazu verleitet, schnell das Lösegeld zu zahlen.

Für diejenigen, die es nicht wissen, nutzte die WannaCry-Ransomware eine Schwachstelle im Windows-Betriebssystem von Microsoft aus und infizierte innerhalb von 72 Stunden im vergangenen Monat mehr als 300.000 Computer in 150 Ländern. Der WannaCry-Ransomware-Kryptowurm verschlüsselte Daten und forderte eine Zahlung in der virtuellen Währung Bitcoin im Austausch für ein Passwort zur Entschlüsselung der Daten.

Zuerst von der chinesischen Sicherheitsfirma Qihoo 360 entdeckt und von Avast als „WannaLocker“ bezeichnet, handelt es sich dabei um eine Lookalike-Version des WannaCry-Ransomware, die derzeit Android-Nutzer in China ins Visier nimmt. Die Hacker verbreiten diese Ransomware über chinesische Gaming-Foren, wo sie als Plugin für das King of Glory, ein sehr beliebtes Mobilspiel in China, getarnt ist.

Wie funktioniert die Malware?

Nach der Installation dieses gefälschten Add-Ons auf dem Gerät versteckt die WannaLocker-Ransomware ihr App-Symbol im App-Dock und ändert den Haupt-Hintergrund des infizierten Geräts in ein Anime-Bild. Dann beginnt sie, die auf dem externen Speicher des infizierten Geräts gespeicherten Dateien zu verschlüsseln.

Die Ransomware verwendet AES-Verschlüsselung, um die Dateien zu sperren (siehe Code unten). Um eine Beschädigung und das Abstürzen des Android-Betriebssystems zu verhindern, werden keine Dateien verschlüsselt, die mit einem „.“ beginnen, oder Dateien, die „DCIM“, „download“, „miad“, „android“ und „com.“ im Pfad enthalten, oder Dateien, die größer als 10 KB sind.

Sobald der Verschlüsselungsprozess abgeschlossen ist, verlangt er ein Lösegeld, das sogar geringer ist als das von Simplocker, und verwendet eine Lösegeldnachricht, die deutlich von der Notiz von WannaCry inspiriert ist, um seine Forderungen bekannt zu geben.

Nikolaos Chrysaidos, Leiter der mobilen Bedrohungsintelligenz und Sicherheit bei Avast, erklärt mehr in einem Blogbeitrag:

„Die Ransomware verlangt dann ein Lösegeld von 40 chinesischen Renminbi, was etwa 5-6 US-Dollar entspricht. Das ist im Vergleich zu dem, was andere mobile Ransomware in der Vergangenheit verlangt hat, nicht viel. Die Tatsache, dass das Lösegeld in regulärer Währung und nicht in Kryptowährungen gefordert wird, lässt mich denken, dass die Menschen dahinter versuchen, Geld zu verdienen, und zwar schnell. Das ist jedoch riskant, da das Geld leicht nachverfolgt werden kann, im Gegensatz zum Versenden von Kryptowährungen.“

Die Opfer der Ransomware werden angewiesen, das Lösegeld in regulärer Währung über chinesische Zahlungsmethoden wie QQ, Alipay und WeChat zu zahlen.

Die nachlässige Handhabung des Lösegeldes deutet darauf hin, dass es sich um das Werk eines Amateur-Hackers oder einer Gruppe von Hackern handeln könnte. Daher ist es nur eine Frage der Zeit, bis die chinesischen Behörden herausfinden, wer hinter der WannaLocker-Ransomware steckt und wer das Lösegeld erhält.

Hier ist ein Sicherheitshinweis von Avast für Android-Nutzer:

Um Ihr Telefon sowie wertvolle Fotos, Videos und Kontakte, die darauf gespeichert sind, vor Ransomware zu schützen, sollten Sie regelmäßig Ihre Daten sichern und Antivirensoftware auf all Ihren Geräten installieren.

Zusätzlich sollten Android-Benutzer davon absehen, Apps in anderen App-Marktplätzen als dem Google Play herunterzuladen. Falls Sie Opfer eines Lösegeldangriffs werden, gehen Sie nicht auf die Lösegeldforderung ein und suchen Sie stattdessen professionelle Hilfe.

In der vergangenen Woche hat Check Point, ein Online-Sicherheitsunternehmen, eine bösartige Malware namens „Fireball“ entdeckt, die von der chinesischen Werbeagentur Rafotech erstellt wurde. Diese Malware übernimmt die Kontrolle über den Webbrowser des Benutzers und generiert gefälschte Werbungsklicks und Promotionen für ihre Kunden online. Die Malware betraf mehr als 250 Millionen Computer weltweit, wobei Indien am stärksten betroffen war.

Quelle: IBT