Nowe złośliwe oprogramowanie Android szyfruje dane: objawy i ochrona
Nie masz pewności, co dokładnie się zepsuło?
Opisz objawy serwisantowi — podpowiemy, od czego zacząć diagnostykę i czy warto oddać sprzęt do naprawy.
Ransomware na Androidzie najczęściej objawia się pełnoekranowym oknem z żądaniem „zapłaty za odblokowanie”, które uniemożliwia korzystanie z telefonu. Prawdziwe szyfrowanie plików na smartfonach zdarza się rzadziej: zwykle są to „blokery” i straszenie, które tylko udają utratę danych. Mimo to z nimi również trzeba postępować ostrożnie. Najważniejsza zasada: nie płać, nie spiesz się z formatowaniem i najpierw zanotuj, co dokładnie się dzieje.
Jak ransomware wygląda w praktyce
Typowe objawy: okno z żądaniem zapłaty, które zasłania ekran; nagle zmienione nazwy plików lub zdjęcia, które się nie otwierają; komunikaty z odliczaniem czasu i groźbami; aplikacja, której nie da się zamknąć ani usunąć. Często wszystko zaczyna się od pliku APK zainstalowanego z nieoficjalnej strony, fałszywej „aktualizacji” albo programu, któremu przyznano dostęp do ułatwień dostępu lub uprawnienia administratora urządzenia. Te uprawnienia pozwalają wyświetlać okna nad innymi aplikacjami i utrudniają usunięcie programu, dlatego to je warto sprawdzić w pierwszej kolejności.
Osobna sprawa to straszenie: komunikat w stylu „twój telefon został zablokowany przez policję” albo „pliki zostały zaszyfrowane” nie dowodzi, że dane faktycznie są zaszyfrowane. Może to być zwykłe okno nałożone na system. Da się to sprawdzić dopiero po wyjściu z niego, na przykład w trybie awaryjnym.
Pierwsze działania
- Odłącz sieć.Wyłącz Wi-Fi i mobilny internet (jeśli ekran na to nie pozwala, skorzystaj z paska powiadomień lub trybu samolotowego). Nie odszyfruje to plików, ale może przerwać łączność z serwerem przestępców. Ogólne zalecenia dotyczące reagowania na ransomware, w tym wytyczne CISA, również zaczynają się od odizolowania zainfekowanego urządzenia od sieci.
- Zanotuj sytuację.Zrób zdjęcie komunikatu innym urządzeniem, zapisz nazwę podejrzanej aplikacji i przybliżony czas, kiedy pojawiły się objawy.
- Niczego nie podłączaj.Nie wkładaj pendrive’a ani dysku zewnętrznego i nie wpisuj na tym telefonie haseł do banku ani poczty.
- Nie płać.Zapłata nie gwarantuje odzyskania dostępu, a twoje dane płatnicze trafią do przestępców. Oficjalne wytyczne zalecają zamiast tego zgłosić się do organów ścigania i do specjalistów, którzy mogą znać działające sposoby odzyskiwania.
Jak pozbyć się szkodliwej aplikacji
Jeśli okno ransomware nie daje się zamknąć, uruchom telefon ponownie w trybie awaryjnym. Sposób zależy od producenta: zwykle długo przytrzymuje się przycisk zasilania, a potem długo przytrzymuje pozycję „Wyłącz” lub „Uruchom ponownie”. Jeśli to nie działa, poszukaj instrukcji dla swojego modelu. W trybie awaryjnym aplikacje innych firm się nie uruchamiają, więc okno blokujące najprawdopodobniej się nie pojawi.
Dalej:
- przejrzyj listę aplikacji i usuń te, których nie instalowałeś lub które zainstalowano niedawno przed wystąpieniem problemu. Najwięcej podejrzeń budzą „aktualizacje”, odtwarzacze wideo, „czyściciele” i „dokumenty” z nieznanych stron;
- jeśli usunięcie nie jest możliwe, otwórz w ustawieniach zabezpieczeń listę aplikacji administratora urządzenia (nazwy pozycji różnią się w zależności od wersji Androida i producenta), odbierz uprawnienia podejrzanemu programowi i spróbuj usunąć go ponownie;
- sprawdź też, które aplikacje mają dostęp do ułatwień dostępu i do wyświetlania nad innymi oknami, i odbierz zbędne uprawnienia;
- otwórz Google Play, dotknij ikony profilu i wejdź w Play Protect. Tam można sprawdzić, czy skanowanie aplikacji jest włączone, i uruchomić skan. Według pomocy Google Play Protect może ostrzec o szkodliwej aplikacji, wyłączyć ją do czasu usunięcia albo usunąć ją samodzielnie.
Jeśli po tym ekran działa normalnie, ale nie masz pewności, że szkodliwy program został usunięty w całości, najpewniejszym rozwiązaniem jest przywrócenie ustawień fabrycznych. Zrób to dopiero po upewnieniu się, że potrzebne dane są w kopii zapasowej, i znasz hasło do swojego konta Google.
Zabezpieczenie kont
Z innego, czystego urządzenia zmień hasło do konta Google i sprawdź aktywne sesje oraz urządzenia, które mają dostęp. Włącz weryfikację dwuetapową, jeśli nie jest jeszcze skonfigurowana. Sprawdź powiadomienia z banku, pocztę i przestrzeń w chmurze: jeśli są oznaki logowania przez osobę trzecią, priorytetem jest zablokowanie dostępu, a nie szukanie „magicznego deszyfratora”. Hasło do aplikacji bankowych lepiej zmienić dopiero po oczyszczeniu telefonu.
Odzyskiwanie plików
Nie formatuj telefonu od razu, jeśli znajduje się na nim jedyna kopia zdjęć. Sprawdź Zdjęcia Google, Dysk Google, komunikatory i kopie na zaufanym komputerze. Jeśli pliki zdążyły się zsynchronizować już zaszyfrowane, nie usuwaj kopii z chmury, dopóki nie ustalisz, kiedy dokładnie nastąpiła synchronizacja: w historii wersji może zostać czysty wariant.
Nie instaluj licznych „antywirusów do odszyfrowywania” z reklam: mogą stać się drugim problemem. Gdy dane są naprawdę ważne, lepiej nie podejmować dziesiątek prób na własną rękę: stan pamięci i sposób szyfrowania wpływają na szanse odzyskania, a nieprzemyślane resety mogą zniszczyć pozostałości informacji. W takim przypadku skorzystaj z usługi odzyskiwania danych i zachowaj oryginalne urządzenie bez dalszych eksperymentów. Jeśli nie masz pewności, czy telefon jest czysty po wszystkich krokach, możesz też zamówić diagnostykę.
Jak zmniejszyć ryzyko z wyprzedzeniem
- Instaluj aplikacje z Google Play i nie zostawiaj zgody na instalację z nieznanych źródeł dla przeglądarki ani komunikatorów. Przed instalacją sprawdź liczbę pobrań, opinie i dewelopera.
- Pozostaw włączony Play Protect (Google Play, profil, Play Protect, Ustawienia, „Skanuj aplikacje za pomocą Play Protect”).
- Nie przyznawaj dostępu do ułatwień dostępu ani uprawnień administratora urządzenia aplikacjom, którym nie są potrzebne do ich zadań. Kalkulator czy latarka ich nie potrzebują.
- Nie otwieraj linków z wiadomości o „paczce”, „mandacie” czy „aktualizacji” i nie pobieraj plików APK z takich linków.
- Aktualizuj Androida i aplikacje: część ataków wykorzystuje podatności, które już zostały naprawione.
- Rób kopie zapasowe z wyprzedzeniem i okresowo sprawdzaj, czy rzeczywiście da się z nich odtworzyć dane. Praktyczny schemat opisano w artykule o regule tworzenia kopii zapasowych 3-2-1. Kopia stale podłączona do zainfekowanego urządzenia może zostać uszkodzona razem z nim, dlatego jedna z kopii powinna być przechowywana osobno.
W skrócie
Jeśli zobaczysz żądanie okupu: wyłącz sieć, zanotuj komunikat, nie płać i nie wpisuj haseł. Spróbuj trybu awaryjnego, usuń podejrzaną aplikację, odbierz jej uprawnienia administratora i zmień hasła z czystego urządzenia. Przywrócenie ustawień fabrycznych to wariant zapasowy po sprawdzeniu kopii zapasowej. A najlepszą ochroną są oficjalne źródła aplikacji, włączony Play Protect i regularne kopie zapasowe.
Więcej o zasadach reagowania na ransomware znajdziesz w wytycznych CISA #StopRansomware oraz w pomocy Google o Play Protect.
Najczęstsze pytania
Czy trzeba zapłacić, gdy ransomware żąda pieniędzy?
Nie spiesz się. Zapłata nie gwarantuje odszyfrowania i może zachęcić do dalszego wymuszenia. Zachowaj dowody, sprawdź kopie zapasowe i skonsultuj sprawę.
Czy można od razu przywrócić Androida do ustawień fabrycznych?
Jeśli ważne pliki są tylko w telefonie, lepiej najpierw ocenić sytuację. Reset może usunąć jedyną dostępną kopię i utrudnić odzyskiwanie.
Czy aplikacje obiecujące deszyfrowanie są bezpieczne?
Nie ma takiej gwarancji. APK z reklam może być kolejnym złośliwym programem. Korzystaj tylko ze sprawdzonych źródeł i nie instaluj przypadkowych narzędzi.
Co zrobić, gdy zagrożone są konta bankowe?
Z czystego urządzenia zmień hasła, zakończ nieznane sesje, włącz uwierzytelnianie dwuskładnikowe i skontaktuj się z bankiem przez oficjalny numer.
