Hace varios días apareció una nueva familia de malware para Android, Android/Koler.A. Los medios se hicieron eco del mismo ya que era un ataque del tipo del “Virus de la Policía” / ransomware, parecido a los que hemos visto en ordenadores Windows, aunque en esta ocasión estaba dirigido a teléfonos móviles.






En este caso, el malware no es capaz de cifrar los datos del teléfono, pero aún así es bastante molesto y difícil de eliminar (si no cuentas con antivirus para Android) ya que el mensaje que muestra en pantalla está encima de todo lo demás y el usuario sólo dispone de unos pocos segundos para intentar desinstalarlo.

Koler.A ES




El método de funcionamiento desde el lado del servidor es muy parecido a los que tienen como objetivo ordenadores con Windows: varios scripts para geolocalizar el dispositivo y mostrar el mensaje en el idioma local y con imágenes de las fuerzas de seguridad locales. Guarda información de todos los dispositivos infectados en la base de datos y añade el MD5 del malware que lo ha infectado. Al hacer esto pueden hacer un seguimiento del número de infecciones que consiguen con cada variante del malware y medir el éxito de las diferentes campañas de infección.

Este troyano está preparado para atacar a usuarios de 31 países de todo el mundo. 23 de ellos son europeos: Alemania, Austria, Bélgica, Chequia, Dinamarca, Eslovenia, Eslovaquia, España, Finlandia, Francia, Grecia, Hungría, Irlanda, Italia, Letonia, Noruega, Polonia, Países Bajos, Portugal, Reino Unido, Rumanía, Suecia y Suiza.

El resto de países cuyos ciudadanos también son objetivos son: Australia, Bolivia, Canadá, Ecuador, Estados Unidos, México, Nueva Zelanda y Turquía.

Eliminar el virus de la Policía Nacional para Android

¿Qué pasa si ya has sido infectado?

Bien, probablemente no tendrás un antivirus instalado en tu teléfono, lo que hace la limpieza un poco complicada. La pantalla de “infección” que muestra aparece siempre en primer lugar, y además el malware deshabilita el botón “atrás”. Sin embargo el botón “Home” que nos lleva al escritorio del teléfono sigue funcionado, así que podemos intentar pulsar el botón, ir al menú de aplicaciones y desinstalar la aplicación maliciosa.

 Eliminando la app que camufla el Virus de la Policía Nacional para Android.

Si usted está listo para eliminar Police or FBI virus de tu Android, echar un vistazo en el hecho de que el malware es generalmente llamado de otra manera, en este caso, BaDoink (aparentemente el nombre de un conocido servicio porno online). Bueno, ahora está claro que debe seguir a la guía y desinstalar el archivo con este nombre exacto.

Si el botón Desinstalar no está disponible: 

• Vamos a Ajustes > Seguridad > Administradores de dispositivos.
• A continuación podremos ver las distintas aplicaciones controladas por el Administrador de dispositivos, simplemente desactivamos la aplicación que deseamos desinstalar y lo desactivamos.
• Ahora ya debería estar disponible el botón desinstalar.

Reiniciar Android en “Modo seguro” para que la pantalla de bloqueo de policía o del FBI se vaya

La mala noticia es que solo tendrás 5 segundos para hacerlo, ya que la pantalla vuelve a aparecer cada 5 segundos. Entonces, ¿qué podemos hacer? Simplemente necesitamos reiniciar el teléfono en “modo seguro”.  Dependiendo del teléfono móvil que tengas esto se puede hacer de diferentes formas. Aquellos que tienen una versión de Android pura (Nexus, Motorola) únicamente necesitan ir al menú de apagado y pulsar durante un par de segundos sobre “Apagar” hasta que les aparezca el mensaje donde nos pregunta si queremos reiniciar en modo seguro:



Aceptamos y una vez se ha reiniciado el teléfono podemos desinstalar la aplicación maliciosa. Para volver al modo normal basta con reiniciar normalmente el teléfono. Si tu teléfono tiene alguna versión de Android personalizada (Samsung, etc.) puedes averiguar fácilmente cómo reiniciar en modo seguro utilizando Google.

Método 1: Funciona en los dispositivos de Google y Android Open Source Project (AOSP), así como derivados de CyanogenMod

• Con el teléfono encendido y desbloqueado, pulsa y mantén pulsado el botón de encendido.
  
• Aparecerá el típico menú de Android con las opciones: Apagar, Reboot y Modo Avión.
• Sin haber soltado el botón de encendido, con el dedo pulsa sobre la opción “Apagar”.
• Aparecerá un cuadro de texto que te preguntará si quieres “Reiniciar en modo Seguro”, pulsa “Aceptar”.
• El teléfono se reiniciará en modo seguro ahora y podrás ver como en la esquina inferior izquierda pone “Modo Seguro”.

Método 2: Funciona en Samsung Galaxy S4 y Samsung Galaxy S5

• Apaga el teléfono Android.
• Activa y pulsa repetidamente la tecla del “Menú”.
• Si lo has conseguido selecciona el modo Seguro, verás el texto “modo Seguro en la esquina inferior izquierda de la pantalla.

ADB (Android Debug Bridge)

Google proporciona una herramienta llamada "adb" usada por desarrolladores de aplicaciones Android para instalar y desinstalar aplicaciones, grabar logs, etc. Antes de desinstalar una aplicación, necesitamos conocer el nombre del paquete que la identifica. Esta información se encuentra en el archivo de configuración "AndroidManifest.xml". Podemos ver que en este caso el nombre de paquete del ransomware es "com.android".

adb uninstall com.android 

con lo que conseguiremos desinstalar el malware.

Android Debug Bridge (adb) es una herramienta de línea de comandos versátil que le permite comunicarse con una instancia de emulador o dispositivo con Android conectado.  Requiere Android SDK y es un programa cliente-servidor que incluye tres componentes:

• Cliente
• Servidor
• Daemon

 
Puede encontrar la herramienta adb en / plataforma-tools /.

Cuando se inicia un cliente adb, el cliente comprueba primero si existe un proceso de servidor adb ya se está ejecutando. Si no lo hay, se inicia el proceso del servidor. Cuando se inicia el servidor, que se une al puerto TCP local de 5037 y la escucha de comandos enviados desde adb clientes todos los clientes adb utilizan el puerto 5037 para comunicarse con el servidor adb.

adb devices

El servidor establece conexiones a todas las instancias emulador / dispositivo en ejecución. Se localiza instancias emulador / dispositivo mediante el escaneo de puertos impares en el rango de 5555-5585, el rango utilizado por emuladores / dispositivos. Cuando el servidor encuentra un demonio adb, se establece una conexión a ese puerto. Tenga en cuenta que cada instancia de emulador / dispositivo adquiere un par de puertos secuenciales - un puerto de número par de conexiones de la consola y un puerto impar para conexiones adb. Por ejemplo:

Emulador 1, consola: 5554
Emulador 1, adb: 5555
Emulador 2, consola: 5556
Emulador 2, adb: 5557

Como se muestra, la instancia de emulador conectado a adb en el puerto 5555 es la misma que la instancia cuya consola de escucha en el puerto 5554.

Una vez que el servidor ha establecido conexiones a todas las instancias del emulador, puede utilizar los comandos adb acceder a esas instancias. Dado que el servidor gestiona las conexiones a las instancias de emulador / dispositivo y maneja los comandos de varios clientes adb, puede controlar cualquier instancia del emulador / dispositivo desde cualquier cliente (o desde un script).

Habilitar depuración adb 

Para utilizar adb con un dispositivo conectado a través de USB, debe habilitar la depuración USB en la configuración del sistema del dispositivo, en las opciones del desarrollador.

En Android 4.2 y superior, la pantalla de opciones Desarrollador está oculta de manera predeterminada. Para hacerlo visible, vaya a Ajustes> Acerca del teléfono y toque Build número siete veces. Vuelva a la pantalla anterior para encontrar opciones de Desarrollador en la parte inferior.

En algunos dispositivos, la pantalla de opciones Desarrollador puede estar localizado o un nombre diferente.

Nota: Cuando se conecta un dispositivo con Android 4.2.2 o superior para su equipo, el sistema muestra un cuadro de diálogo preguntando si acepta una clave RSA que permite la depuración a través de este equipo. Este mecanismo de seguridad protege a los dispositivos de usuario, ya que garantiza que la depuración USB y otros comandos adb no se pueden ejecutar a menos que seas capaz de desbloquear el dispositivo y reconocer el diálogo. Esto requiere que usted tenga la versión 1.0.31 adb (disponible con el SDK de la plataforma-herramientas r16.0.1 y superior) con el fin de depurar en un dispositivo con Android 4.2.2 o superior.

Para obtener más información sobre la conexión a un dispositivo a través de USB, lea Uso de dispositivos de hardware.

Instalar una  aplicación

adb install appname.apk

Fuentes:
http://www.pandasecurity.com/spain/mediacenter/noticias/virus-policia-android/
http://viruspolicia.es/eliminar-virus-de-la-policia-nacional-para-android/