根據Kai Lu文章指出，用戶(hù)啟動(dòng)遭到勒索軟體Locker感染的App，會(huì )要求用戶(hù)授予此App管理員權限。當用戶(hù)授權後，勒索軟體會(huì )立即發(fā)動(dòng)勒索攻擊，鎖住使用者Android裝置的螢幕，造成用戶(hù)無(wú)法點(diǎn)選其他應用程式或是首頁(yè)解除，僅能使用鍵盤(pán)功能。接著(zhù)，螢幕出現要求用戶(hù)輸入信用卡資料支付贖金的畫(huà)面，并且同時(shí)竊取用戶(hù)的銀行資料。
惡意軟體Android/Locker.FK!tr植入偽裝的Android App之中。圖片來(lái)源：Fortinet
然而，根據資安部落格BLEEPINGCOMPUTER說(shuō)明，駭客索取的金額都是超過(guò)手機價(jià)格的10倍和100倍之間，大部分的用戶(hù)遇到此情形，會(huì )選擇購買(mǎi)新的手機，較不愿意支付駭客贖金。
螢幕出現勒索用戶(hù)贖金的畫(huà)面，要求使用者輸入信用卡資料。圖片來(lái)源：Fortinet
此外，駭客利用Google云端通訊服務(wù)，傳遞指令給App使用者監控遭到該勒索軟體Locker感染的Android裝置。Google云端通訊服務(wù)原先是Google提供給Android App開(kāi)發(fā)者的免費服務(wù)，可讓開(kāi)發(fā)者透過(guò)此服務(wù)傳遞資料給App注冊的用戶(hù)。用戶(hù)也會(huì )透過(guò)Google云端通訊服務(wù)回傳資料給應用程式開(kāi)發(fā)者。駭客利用這項服務(wù)傳遞控制指令給Android用戶(hù)，例如鎖定或解除螢幕鎖定、新增或刪除聯(lián)絡(luò )人、發(fā)送簡(jiǎn)訊和更新勒索軟體程式碼等多達20種類(lèi)型的指令。
駭客利用Google云端傳訊服務(wù)（GCM，綠色圖示）控制和命令注冊該App的用戶(hù)。圖片來(lái)源：Fortinet
Kai Lu發(fā)現，勒索軟體Locker會(huì )啟動(dòng)http的請求來(lái)獲取更新檔，并且自動(dòng)儲存在/sdcard/Download資料夾。Kai Lu認為，Google云端通訊服務(wù)是一把雙刃劍。這款勒索軟體的攻擊方式，表明了駭客可以利用Google云端通訊服務(wù)作為控制和指揮（Command and Control ，C&C）的基礎設施，而且未來(lái)也可能成為駭客操控的手段。
