content/zh-cn/images/repository/isc/2017-images/malware-img-27.jpg
病毒定义

又名:Trojan.AndroidOS.Koler.a.
病毒类型:勒索软件(手机)

它是什么?

2014 年 4 月,一项恶意活动将 Koler “police”手机勒索软件传播给了全球各地的 Android 设备,而 Koler 是该恶意活动的一个隐秘部分。该部分包含了一些基于浏览器的勒索软件和一个漏洞利用套件。

那些攻击发起者采用了一个不常见的方案来扫描受害者的系统,并根据地点和设备类型(手机或个人电脑)给出定制的勒索软件。受害者在访问 Koler 操作者使用的至少 48 个恶意色情网站中的任意一个后,便会触发重定向框架。该勒索软件对色情网络的使用并非巧合:受害者很可能会因浏览此类内容而产生负罪感,并因而支付“当局”的所谓罚金。

自 7 月 23 日起,由于命令和控制服务器开始向手机受害者发送“卸载”命令,有效删除了该恶意应用程序,该活动的手机部分被成功中断。然而,该恶意活动中剩下的针对个人电脑用户的部分 — 包括漏洞利用套件 — 依然活跃着。

病毒详细信息

48 个色情网站会将用户重定向到其中心,再由该中心利用 Keitaro Traffic Distribution System (TDS) 再次对用户进行重定向。根据一系列条件,第二次重定向会导向三种不同的恶意场景:

- 安装 Koler 手机勒索软件。针对手机体验,该网站会自动将用户重定向到恶意应用程序。但此时仍需要用户确认下载并安装该名为 animalporn.apk,实为 Koler 勒索软件的应用程序。它会锁定受感染设备的屏幕,并要求支付 100 到 300 美元的赎金来解锁。该恶意软件会显示一条冒充“警察”的本地化消息,使之显得更加逼真。

- 重定向到任意一个浏览器勒索软件网站。一个特殊的控制器会检查 (i) 用户代理是否来自 30 个受影响的国家或地区之一;(ii) 用户是否并非Android用户;以及 (iii) 该请求是否不包含任何 Internet Explorer 用户代理。如果以上问题的回答都是肯定的,用户便会和上述手机设备用户一样,看到相同的锁定屏幕。在这种情况中,实际上并未发生感染,只是弹出了一个显示锁定屏幕的模板。用户只需要按下 alt+F4 组合键,就能轻易地避开该锁定攻击。

- 重定向到包含 Angler 漏洞利用套件的网站。如果用户使用的是 Internet Explorer,该活动中使用的重定向基础架构便会将用户发送到托管有 Angler 漏洞利用套件的网站,这些套件中包含了针对 Silverlight、Adobe Flash 和 Java 的漏洞利用程序。在卡巴斯基实验室展开分析期间,该漏洞利用代码处于完全生效的状态,不过尚未提供任何有效负载,但这一点在不远的将来可能就会发生变化。

安全建议

  • 记住,您永远不会收到来自警方的官方“赎金”消息,所以不要付钱给他们;
  • 不要安装任何在浏览时找到的应用程序;
  • 不要访问您不信任的网站;
  • 使用可靠的反病毒解决方案。

与 Koler “police”手机勒索软件相关的其他文章和链接

Koler “police”手机勒索软件

在本部分中,您将了解到最常见及具有潜在危险的威胁和病毒、部分病毒的定义、怎样知道是否受到感染以及应采取哪些应对措施。
Kaspersky Logo