Des individus de la r\u00e9gion du Pakistan ont \u00e9t\u00e9 cibl\u00e9s \u00e0 l’aide de deux applications Android malveillantes disponibles sur le Google Play Store dans le cadre d’une nouvelle campagne cibl\u00e9e.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Cyfirma a attribu\u00e9 la campagne avec une confiance mod\u00e9r\u00e9e \u00e0 un acteur mena\u00e7ant connu sous le nom de DoNot Team, \u00e9galement suivi sous les noms d’APT-C-35 et de Viceroy Tiger.<\/p>\n
L’activit\u00e9 d’espionnage consiste \u00e0 duper les propri\u00e9taires de smartphones Android en t\u00e9l\u00e9chargeant un programme utilis\u00e9 pour extraire les donn\u00e9es de contact et de localisation des victimes involontaires.<\/p>\n
“Le motif de l’attaque est de collecter des informations via la charge utile du stager et d’utiliser les informations recueillies pour l’attaque de deuxi\u00e8me \u00e9tape, en utilisant des logiciels malveillants avec des fonctionnalit\u00e9s plus destructrices”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. a dit<\/a>.<\/p>\n \u00c9quipe DoNot<\/a> est un acteur pr\u00e9sum\u00e9 de la menace li\u00e9e \u00e0 l’Inde qui a la r\u00e9putation d’avoir perp\u00e9tr\u00e9 des attaques contre divers pays d’Asie du Sud. Il est actif depuis au moins 2016.<\/p>\n Alors qu’un rapport d’octobre 2021 d’Amnesty International a li\u00e9 l’infrastructure d’attaque du groupe \u00e0 une soci\u00e9t\u00e9 indienne de cybers\u00e9curit\u00e9 appel\u00e9e Innefu Labs, Group-IB, en f\u00e9vrier 2023, a d\u00e9clar\u00e9 avoir identifi\u00e9 des chevauchements entre DoNot Team et SideWinder, une autre \u00e9quipe de piratage indienne pr\u00e9sum\u00e9e.<\/p>\n Les cha\u00eenes d’attaque mont\u00e9es par le groupe exploitent les e-mails de harponnage contenant des documents et des fichiers leurres comme leurres pour propager des logiciels malveillants. En outre, l’auteur de la menace est connu pour utiliser applications Android malveillantes<\/a> qui se font passer pour des services publics l\u00e9gitimes dans leurs attaques cibl\u00e9es.<\/p>\n Ces applications, une fois install\u00e9es, activent le comportement des chevaux de Troie en arri\u00e8re-plan et peuvent contr\u00f4ler \u00e0 distance le syst\u00e8me de la victime, en plus de voler des informations confidentielles sur les appareils infect\u00e9s.<\/p>\n Le dernier ensemble d’applications d\u00e9couvertes par Cyfirma provient d’un d\u00e9veloppeur nomm\u00e9 “SecurITY Industry” et se fait passer pour des VPN et des applications de chat, ce dernier toujours disponible<\/a> \u00e0 t\u00e9l\u00e9charger sur le Play Store –<\/p>\n L’application VPN, qui r\u00e9utilise le code source extrait du v\u00e9ritable produit Liberty VPN, n’est plus h\u00e9berg\u00e9e sur la vitrine officielle de l’application, bien que des preuves montrent qu’elle \u00e9tait disponible<\/a> aussi r\u00e9cemment que le 12 juin 2023.<\/p>\n Le faible nombre de t\u00e9l\u00e9chargements indique que les applications sont utilis\u00e9es dans le cadre d’une op\u00e9ration tr\u00e8s cibl\u00e9e, caract\u00e9ristique des acteurs de l’\u00c9tat-nation. Les deux applications sont configur\u00e9es pour inciter les victimes \u00e0 leur accorder des autorisations invasives pour acc\u00e9der \u00e0 leurs listes de contacts et \u00e0 leurs emplacements pr\u00e9cis.<\/p>\n On sait peu de choses sur les victimes cibl\u00e9es \u00e0 l’aide des applications malveillantes, \u00e0 l’exception du fait qu’elles sont bas\u00e9es au Pakistan. On pense que les utilisateurs ont peut-\u00eatre \u00e9t\u00e9 approch\u00e9s via des messages sur Telegram et WhatsApp pour les inciter \u00e0 installer les applications.<\/p>\n En utilisant le Google Play Store comme vecteur de distribution de logiciels malveillants, l’approche abuse de la confiance implicite plac\u00e9e par les utilisateurs sur le march\u00e9 des applications en ligne et lui donne un air de l\u00e9gitimit\u00e9. Il est donc essentiel que les applications soient soigneusement examin\u00e9es avant de les t\u00e9l\u00e9charger.<\/p>\n “Il semble que ce malware Android ait \u00e9t\u00e9 sp\u00e9cialement con\u00e7u pour la collecte d’informations”, a d\u00e9clar\u00e9 Cyfirma. “En acc\u00e9dant aux listes de contacts et aux emplacements des victimes, l’acteur de la menace peut \u00e9laborer des strat\u00e9gies pour de futures attaques et utiliser des logiciels malveillants Android avec des fonctionnalit\u00e9s avanc\u00e9es pour cibler et exploiter les victimes.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/Les-cybercriminels-bresiliens-utilisent-les-scripts-LOLBaS-et-CMD-pour.png\")
<\/a><\/center><\/div>\n![\"Applications](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/1687246479_35_Des-applications-Android-malveillantes-ciblent-des-Pakistanais-dans-le-cadre.jpg\" "\\"Applications")
<\/div>\n\n