Eravamo abituati a vederlo nei nostri Computer, il ransomware con la sua pagina minacciosa dove varie Autorità Nazionali (vedi virus Guardia di Finanza) ci avvisavano di averci bloccato il PC in quanto usato per attività criminose (addirittura!) e per sbloccarlo bisognava pagare un certo importo (da qui il nome ransom); ecco ora ripresentarsi sulle piattaforme dei nostri amati smartphone.
Android.Trojan. Koler.A, questo il nome della variante per Android (il sistema operativo operante su buona parte degli smartphone in circolazione), cerca di installarsi nell'apparecchio ingannando l'utente, sostenendo di essere un lettore video utilizzato per l'accesso (privilegiato) a determinati contenuti video. Questo trucco viene utilizzato a causa dell'impossibilità per una app di autoinstallarsi (cosa che invece avveniva tranquillamente con la versione per PC); una volta installato il ransomware apre una pagina del browser visualizzando un logo generico mentre nel frattempo, l'APK chiama uno degli oltre 200 domini noti per essere coinvolti nel sistema inviando anche IMEI del dispositivo.
Il server identifica la posizione della vittima tramite il suo IP e risponde con la pagina HTML localizzata nella lingua della vittima:
Il ransomware disabilita il tasto indietro, ma permette di ritornare brevemente alla schermata Home, l'utente ha però solo cinque secondi per disinstallare l'APK prima che un timer riporti l'applicazione di nuovo in primo piano. Anche se nel messaggio viene indicato che tutti i dati presenti sono stati crittografati, l'applicazione non ha le autorizzazioni necessarie per attuare questa procedura, si cerca solo di spaventare l'utente per spingerlo a pagare 300 dollari di riscatto.
Koler.A può essere facilmente rimosso premendo il tasto della schermata iniziale e poi, navigando verso l'app, trascinarla sulla parte superiore dello schermo in cui si trova il controllo per la disinstallazione, ma a causa del timer che ogni 5 secondi riporta l'app in primo piano (non sempre abbiamo il tempo di trovare subito l'app incriminata) è meglio avviare il dispositivo in modalità provvisoria e quindi disinstallare l'applicazione.
