勒索软件冒充COVID-19接触追踪App诱骗用户上钩

恶意程式作者又来趁火打劫。在武汉肺炎（COVID-19）疫情稍缓，各国相继解封并释出接触追踪App之时，有勒索软件冒充这类App诱骗用户下载。

本周加拿大卫生主管机关Health Canada宣布该国的接触追踪App -- COVID Alert 即将开发完成，最快下个月在安大略省试行，鼓励民众届时配合防疫政策下载安装。不过安全厂商ESET发现已经有勒索软件抢先上线，锁定加国Android用户。勒索软件CryCryptor于近日开始透过tracershield[.]ca及covid19tracer[.]ca网站发布，冒充是Health Canada开发的官方COVID-19接触追踪App。目前这两个网域已经被关闭。

不知情的用户安装后，CryCryptor就会将Android装置上的所有常见档案加密。它在启动时会允许存取装置档案，一旦获得许可即会以AES加密及16-bit金钥来加密装置上的外接磁盘及档案，产生副档名为.ENC的档案，并在每个资料夹中留下readme纯文字档案，内容是攻击者的电子邮件信箱及勒索讯息。

研究人员猜测它是经由Android上一个Android元件不当汇出的漏洞（MITRE数据库编号CWE-926）成功执行。

所幸ESET的工具可成功解密CryCryptor加密的档案，厂商已公布于GitHub上。ESET并已通知加拿大当局。

这不是勒索软件第一次利用消费者防疫心理为害。三月间有勒索软件AZORult冒充COVID-19全球感染地图诱使用户下载。而锁定医疗机构或-部门的勒索软件更是不计其数。