{"id":1240980,"date":"2024-07-16T12:27:00","date_gmt":"2024-07-16T14:27:00","guid":{"rendered":"https:\/\/teknomers.com\/fr\/la-fraude-publicitaire-konfety-utilise-plus-de-250-applications-google-play-pour-masquer-des-jumeaux-malveillants\/"},"modified":"2024-07-16T12:27:05","modified_gmt":"2024-07-16T14:27:05","slug":"la-fraude-publicitaire-konfety-utilise-plus-de-250-applications-google-play-pour-masquer-des-jumeaux-malveillants","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/la-fraude-publicitaire-konfety-utilise-plus-de-250-applications-google-play-pour-masquer-des-jumeaux-malveillants\/","title":{"rendered":"La fraude publicitaire \u00ab Konfety \u00bb utilise plus de 250 applications Google Play pour masquer des jumeaux malveillants"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>16 juillet 2024<\/span>\ue804<\/i>R\u00e9daction<\/span><\/span>S\u00e9curit\u00e9 mobile \/ S\u00e9curit\u00e9 en ligne<\/span><\/p>\n<\/div>\n

\n
<\/a><\/div>\n

Des d\u00e9tails ont \u00e9merg\u00e9 \u00e0 propos d’une \u00ab op\u00e9ration massive de fraude publicitaire \u00bb qui exploite des centaines d’applications sur le Google Play Store pour effectuer une multitude d’activit\u00e9s n\u00e9fastes.<\/p>\n

La campagne a \u00e9t\u00e9 baptis\u00e9e \u00ab\u00a0nom de code\u00a0\u00bb Confettis<\/strong> \u2013 le mot russe pour Bonbon \u2013 en raison de son utilisation abusive d\u2019un kit de d\u00e9veloppement logiciel de publicit\u00e9 mobile (SDK) associ\u00e9 \u00e0 un r\u00e9seau publicitaire bas\u00e9 en Russie appel\u00e9 CaramelAds<\/a>.<\/p>\n

\u00ab Konfety repr\u00e9sente une nouvelle forme de fraude et d’obfuscation, dans laquelle les acteurs de la menace exploitent des versions \u00ab jumelles mal\u00e9fiques \u00bb d’applications \u00ab jumelles leurres \u00bb disponibles sur les principales places de march\u00e9 \u00bb, a d\u00e9clar\u00e9 l’\u00e9quipe de renseignement sur les menaces Satori de HUMAN dans un rapport technique partag\u00e9 avec The Hacker News.<\/p>\n

Alors que les applications leurres, au nombre de plus de 250 au total, sont inoffensives et distribu\u00e9es via le Google Play Store, leurs \u00ab jumeaux mal\u00e9fiques \u00bb respectifs sont diffus\u00e9s via une campagne de malvertising con\u00e7ue pour faciliter la fraude publicitaire, surveiller les recherches sur le Web, installer des extensions de navigateur et charger du code de fichiers APK sur les appareils des utilisateurs.<\/p>\n

L’aspect le plus inhabituel de la campagne est que le jumeau mal\u00e9fique se fait passer pour le jumeau leurre en usurpant l’identifiant de l’application et l’identifiant de l’\u00e9diteur publicitaire de ce dernier pour diffuser des publicit\u00e9s. Les applications leurre et jumelle mal\u00e9fique fonctionnent sur la m\u00eame infrastructure, ce qui permet aux acteurs malveillants d’\u00e9tendre leurs op\u00e9rations de mani\u00e8re exponentielle selon les besoins.<\/p>\n

\"La<\/a><\/center><\/section>\n

Cela \u00e9tant dit, non seulement les applications leurres se comportent normalement, mais la majorit\u00e9 d’entre elles n’affichent m\u00eame pas de publicit\u00e9s. Elles int\u00e8grent \u00e9galement un avis de consentement au RGPD.<\/p>\n

\u00ab Ce m\u00e9canisme de \u00ab leurre\/jumeau mal\u00e9fique \u00bb pour l’obfuscation est une nouvelle fa\u00e7on pour les acteurs malveillants de pr\u00e9senter le trafic frauduleux comme l\u00e9gitime \u00bb, ont d\u00e9clar\u00e9 les chercheurs de HUMAN. \u00ab \u00c0 son apog\u00e9e, le volume programmatique li\u00e9 \u00e0 Konfety a atteint 10 milliards de requ\u00eates par jour. \u00bb<\/p>\n

En d’autres termes, Konfety exploite les capacit\u00e9s de rendu publicitaire du SDK pour commettre une fraude publicitaire en rendant beaucoup plus difficile la distinction entre le trafic malveillant et le trafic l\u00e9gitime.<\/p>\n

Les applications jumelles mal\u00e9fiques Konfety seraient propag\u00e9es via une campagne de malvertising faisant la promotion de mods APK et d’autres logiciels comme Letasoft Sound Booster, avec les URL pi\u00e9g\u00e9es h\u00e9berg\u00e9es sur des domaines contr\u00f4l\u00e9s par des attaquants, des sites WordPress compromis et d’autres plateformes qui permettent le t\u00e9l\u00e9chargement de contenu, notamment Docker Hub, Facebook, Google Sites et OpenSea.<\/p>\n

\"\"<\/a><\/div>\n

Les utilisateurs qui finissent par cliquer sur ces URL sont redirig\u00e9s vers un domaine qui les incite \u00e0 t\u00e9l\u00e9charger l’application malveillante Evil Twin, qui, \u00e0 son tour, agit comme un dropper pour une premi\u00e8re \u00e9tape d\u00e9crypt\u00e9e \u00e0 partir des ressources du fichier APK et utilis\u00e9e pour configurer les communications de commande et de contr\u00f4le (C2).<\/p>\n

L’\u00e9tape initiale tente en outre de masquer l’ic\u00f4ne de l’application sur l’\u00e9cran d’accueil de l’appareil et ex\u00e9cute une charge utile DEX de deuxi\u00e8me \u00e9tape qui effectue une fraude en diffusant des publicit\u00e9s vid\u00e9o hors contexte et en plein \u00e9cran lorsque l’utilisateur est sur son \u00e9cran d’accueil ou utilise une autre application.<\/p>\n

\u00ab Le c\u0153ur de l’op\u00e9ration Konfety r\u00e9side dans les applications jumelles mal\u00e9fiques \u00bb, ont d\u00e9clar\u00e9 les chercheurs. \u00ab Ces applications imitent leurs applications jumelles leurres correspondantes en copiant leurs identifiants d’application\/de package et leurs identifiants d’\u00e9diteur \u00e0 partir des applications jumelles leurres. \u00bb<\/p>\n

\u00ab Le trafic r\u00e9seau d\u00e9riv\u00e9 des applications jumelles mal\u00e9fiques est fonctionnellement identique au trafic r\u00e9seau d\u00e9riv\u00e9 des applications jumelles leurres\u00a0; les impressions publicitaires rendues par les jumelles mal\u00e9fiques utilisent le nom du package des jumelles leurres dans la requ\u00eate. \u00bb<\/p>\n

D’autres capacit\u00e9s du malware incluent l’utilisation du SDK CaramelAds comme arme pour visiter des sites Web \u00e0 l’aide du navigateur Web par d\u00e9faut, l’incitation des utilisateurs en leur envoyant des notifications les invitant \u00e0 cliquer sur les faux liens ou le chargement lat\u00e9ral de versions modifi\u00e9es d’autres SDK publicitaires.<\/p>\n

Ce n’est pas tout. Les utilisateurs qui installent les applications Evil Twins sont invit\u00e9s \u00e0 ajouter un widget de barre d’outils de recherche \u00e0 l’\u00e9cran d’accueil de l’appareil, qui surveille subrepticement leurs recherches en envoyant les donn\u00e9es \u00e0 des domaines nomm\u00e9s vptrackme[.]com et vous recherchez[.]com.<\/p>\n

\u00ab Les acteurs malveillants comprennent que l’h\u00e9bergement d’applications malveillantes sur les stores n’est pas une technique stable et trouvent des moyens cr\u00e9atifs et astucieux pour \u00e9chapper \u00e0 la d\u00e9tection et commettre des fraudes durables \u00e0 long terme \u00bb, concluent les chercheurs. \u00ab Les acteurs qui cr\u00e9ent des soci\u00e9t\u00e9s de SDK de m\u00e9diation et diffusent le SDK pour abuser des \u00e9diteurs de haute qualit\u00e9 sont une technique en pleine croissance. \u00bb<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire davantage de contenu exclusif que nous publions.<\/div>\n<\/div>\n