Cinq applications Android malveillantes avec plus de 130 000 installations cumul\u00e9es ont \u00e9t\u00e9 d\u00e9couvertes sur le Google Play Store, distribuant des chevaux de Troie bancaires comme SharkBot et Vultur, qui sont capables de voler des donn\u00e9es financi\u00e8res et d’effectuer des fraudes sur l’appareil.<\/p>\n
“Ces droppers poursuivent l’\u00e9volution incessante des applications malveillantes qui se faufilent dans la boutique officielle”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 n\u00e9erlandaise de s\u00e9curit\u00e9 mobile ThreatFabric \u00e0 The Hacker News dans un communiqu\u00e9.<\/p>\n
“Cette \u00e9volution comprend le respect des politiques nouvellement introduites et le fait de se faire passer pour des gestionnaires de fichiers et de surmonter les limitations en chargeant de mani\u00e8re lat\u00e9rale la charge utile malveillante via le navigateur Web.”<\/p>\n
Les cibles de ces compte-gouttes<\/a> comprennent 231 applications bancaires et de portefeuille de crypto-monnaie d’institutions financi\u00e8res en Italie, au Royaume-Uni, en Allemagne, en Espagne, en Pologne, en Autriche, aux \u00c9tats-Unis, en Australie, en France et aux Pays-Bas.<\/p>\n Les applications dropper sur les magasins d’applications officiels comme Google Play sont devenues une technique de plus en plus populaire et efficace pour distribuer des logiciels malveillants bancaires aux utilisateurs sans m\u00e9fiance, m\u00eame si les acteurs de la menace derri\u00e8re ces campagnes affinent continuellement leurs tactiques pour contourner les restrictions<\/a> impos\u00e9e par Google.<\/p>\n La liste des applications malveillantes, dont quatre sont toujours disponibles sur le march\u00e9 num\u00e9rique, est ci-dessous –<\/p>\n La derni\u00e8re vague d’attaques SharkBot visant les utilisateurs bancaires italiens depuis d\u00e9but octobre 2022 impliquait l’utilisation d’un compte-gouttes d\u00e9guis\u00e9 en un pour d\u00e9terminer le code fiscal du pays (“Codice Fiscale 2022”).<\/p>\n Bien que la politique du programme pour les d\u00e9veloppeurs de Google limite l’utilisation du Autorisation REQUEST_INSTALL_PACKAGES<\/a> pour \u00e9viter qu’il ne soit utilis\u00e9 \u00e0 mauvais escient pour installer des packages d’applications arbitraires, le compte-gouttes, une fois lanc\u00e9, contourne cette barri\u00e8re en ouvrant une fausse page de magasin Google Play se faisant passer pour la liste des applications, ce qui entra\u00eene le t\u00e9l\u00e9chargement du logiciel malveillant sous le couvert d’une mise \u00e0 jour.<\/p>\n L’externalisation de la r\u00e9cup\u00e9ration des logiciels malveillants vers le navigateur n’est pas la seule m\u00e9thode adopt\u00e9e par les acteurs criminels. Dans une autre instance rep\u00e9r\u00e9e par ThreatFabric, le compte-gouttes se pr\u00e9sentait comme une application de gestionnaire de fichiers, qui, conform\u00e9ment \u00e0 la politique r\u00e9vis\u00e9e de Google, est une cat\u00e9gorie autoris\u00e9e \u00e0 avoir l’autorisation REQUEST_INSTALL_PACKAGES.<\/p>\n Trois compte-gouttes offraient \u00e9galement les fonctionnalit\u00e9s annonc\u00e9es, mais \u00e9taient \u00e9galement dot\u00e9s d’une fonction secr\u00e8te qui incitait les utilisateurs \u00e0 installer une mise \u00e0 jour lors de l’ouverture des applications et leur accordait l’autorisation d’installer des applications \u00e0 partir de sources inconnues, ce qui a conduit \u00e0 la livraison de Vultur.<\/p>\n La nouvelle variante du cheval de Troie se distingue par l’ajout de fonctionnalit\u00e9s permettant de consigner de mani\u00e8re approfondie les \u00e9l\u00e9ments de l’interface utilisateur et les \u00e9v\u00e9nements d’interaction (par exemple, les clics, les gestes, etc.), ce qui, selon ThreatFabric, pourrait \u00eatre une solution de contournement \u00e0 l’utilisation du Indicateur de fen\u00eatre FLAG_SECURE<\/a> par les applications bancaires pour \u00e9viter qu’elles ne soient captur\u00e9es dans les captures d’\u00e9cran.<\/p>\n Les d\u00e9couvertes de ThreatFabric viennent aussi de Cyble d\u00e9couvert<\/a> une version am\u00e9lior\u00e9e du Cheval de Troie Drinik Android<\/a> qui cible 18 banques indiennes en se faisant passer pour l’application officielle du service des imp\u00f4ts du pays pour siphonner des informations personnelles en abusant de l’API des services d’accessibilit\u00e9.<\/p>\n “La distribution via des compte-gouttes sur Google Play reste le moyen le plus “abordable” et le plus \u00e9volutif d’atteindre les victimes pour la plupart des acteurs de diff\u00e9rents niveaux”, a not\u00e9 la soci\u00e9t\u00e9.<\/p>\n “Alors que les tactiques sophistiqu\u00e9es comme la livraison d’attaques par t\u00e9l\u00e9phone n\u00e9cessitent plus de ressources et sont difficiles \u00e0 mettre \u00e0 l’\u00e9chelle, les droppers sur les magasins officiels et tiers permettent aux acteurs de la menace d’atteindre un large public sans m\u00e9fiance avec des efforts raisonnables.”<\/p>\n <\/p>\n<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1666981223_114_Ces-applications-Dropper-sur-Play-Store-ciblant-plus-de-200.jpg\")
<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1666981223_533_Ces-applications-Dropper-sur-Play-Store-ciblant-plus-de-200.jpg\")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n