Ein neuer Android-Trojaner in der App Porn Droid sichert sich mit einem Trick Administrator-Rechte auf dem Gerät und aktiviert die PIN-Sperre. Nutzer sollen 500 US-Dollar überweisen, um ihr Gerät wieder verwenden zu können.

Lockerpin.A soll der erste Android-Trojaner sein, der eine PIN-Sperre auf dem Gerät einrichtet. Der Trojaner versteckt sich in der Porn Droid und betrifft zu 75 Prozent Nutzer aus den USA. Die Sicherheitsforscher von Eset-Security haben ihn am 10. September vorgestellt.

Um an die notwendigen Berechtigungen zu gelangen, täuscht die App nach der Installation ein Update vor, das der Nutzer akzeptieren muss. Dieser Dialog ist als Overlay über ein weiteres Fenster platziert, mit dem der App Administrator-Rechte auf dem Gerät eingeräumt werden.
Trojaner aktiviert die PIN-Sperre

Hat der Trojaner einmal Administrator-Rechte, ist es nicht mehr möglich, ihn im normalen Betrieb von dem Gerät zu entfernen. Hat die App die Rechte übernommen, erscheint ein gefälschter FBI-Hinweis, der zur Zahlung von 500 US-Dollar auffordert. Kurz darauf wird dann die permanente PIN-Sperre aktiviert.

Nutzer können den Trojaner nach Angaben von Eset auf zwei Arten entfernen. Einerseits können sie das Gerät auf die Werkseinstellungen zurücksetzen und müssen dann möglicherweise einen Datenverlust hinnehmen. Einfacher ist es, wenn das Smartphone Mobile-Device-Management (MDM) und Android-Debug-Bridge (ADB) unterstützt und gerootet ist. Außerdem muss der Debugging-Modus aktiviert sein. Dann können Nutzer das Gerät per USB-Kabel an ihre Rechner anschließen und die Datei, die die PIN enthält, löschen. Dazu müssen im Terminal folgende Befehle eingegeben werden: > adb shell > su > rm /data/system/password.key

Die App ist bei Google Play nicht verfügbar, sondern muss manuell installiert werden. Sicherheitsexperten warnen seit langem vor der Installation von Apps aus unvertrauten Quellen.
Nachtrag:

Zunächst haben wir irrtümlicherweise geschrieben, dass die App sich Root-Rechte erschleicht. Tatsächlich muss es Administrator-Rechte heißen. Der Beitrag ist entsprechend aktualisiert.

Gruß raffisworld