DroidLock se distribuye en los dispositivos a través de un dropper que se propaga en sitios de phishing. El proceso de infección comienza, generalmente, con la instalación de una aplicación que aparenta ser legítima, pero que en realidad funciona como cebo. Una vez instalada, esta aplicación fraudulenta muestra pantallas de actualización falsas y solicita a la víctima que autorice el acceso a los servicios de accesibilidad.
Esta etapa es crucial, ya que permite al malware obtener automáticamente permisos amplios, incluyendo el acceso a los mensajes SMS, el audio, la lista de contactos y el registro de llamadas. Posteriormente, descarga de forma discreta la carga maliciosa y establece comunicación con un servidor de comando que envía instrucciones de manera continua.
La principal fortaleza de DroidLock reside en la diversidad de acciones que puede ejecutar una vez obtenidos estos permisos. El atacante puede superponer una pantalla negra u otras notificaciones de actualización para impedir cualquier interacción con el smartphone, mostrar una solicitud de rescate con un plazo de 24 horas bajo la amenaza de borrar completamente el dispositivo, bloquear el teléfono por completo o incluso forzar un restablecimiento de fábrica. El malware también puede desinstalar aplicaciones, silenciar el teléfono, activar la cámara o tomar el control del dispositivo, facilitando así la recopilación y el robo de credenciales.
DroidLock incorpora varios módulos dedicados al robo de datos confidenciales. Puede superponer una interfaz sobre el patrón de desbloqueo para interceptar o modificar el código PIN, o mostrar pantallas que imitan a las de aplicaciones legítimas para obtener las credenciales ingresadas por la víctima. La grabación de pantalla completa el conjunto, ya que cada imagen capturada se envía al servidor de comando, proporcionando al atacante acceso directo a los códigos 2FA, contraseñas y cualquier otra información sensible que se muestre en la pantalla.
