O documento apresenta uma palestra sobre como recuperar dispositivos Android infectados por ransomwares. Ele discute dois tipos de ransomwares Android, Simplocker e Lockerpin, e mostra como analisar staticamente os arquivos APK desses vírus para desenvolver um decriptador capaz de descriptografar os arquivos encriptados.

1. Revers@ndroid
Cassius Puodzius

2. Agenda
Revers@ndroid: recuperando seu Android de um ransomware
• Android/Simplocker, Android/Lockerpin
• Preparação de um ambiente de análise Android
• RE Android for dummies
• Decriptor de ransomwares (simples)

3. (Cripto)ransomware
Infecta
dispositivo
Encripta
arquivos
Solicita
resgate

4. Android - Arquitetura

5. Android - APK

6. Análise
dinâmica
• Droidbox
Análise
estática
• DEX2JAR
• JD-GUI
Decriptor
• Python

7. SIMPLOCKER

8. Simplocker

9. Simplocker
• Parâmetros: AES-256/CBC/PKCA7Padding

10. Simplocker
• paramString1, paramString2 -> Cria novo arquivo encriptado
• Chave: this.key; IV: this.spec

11. Simplocker

12. Simplocker
• Password -> Chave AES: SHA256(Password)

14. LOCKERPIN

15. Lockerpin

16. Lockerpin

17. Lockerpin

18. Lockerpin

19. Lockerpin

21. Cassius Puodzius
Security Researcher
cassius.puodzius@eset.com
@cpuodzius
www.welivesecurity.com/br