Des chevaux de Troie bancaires continuent à faire surface sur Google Play

Les auteurs de logiciels malveillants continuent de tester la vigilance des utilisateurs d'Android en dissimulant des chevaux de Troie dans le magasin Google Play. Nous avons récemment analysé un ensemble de 29 chevaux de Troie furtifs, trouvés dans le magasin officiel Android dans la période allant des mois d’août 2018 au début d’octobre 2018, déguisés en rehausseurs (ou boosters) et nettoyeurs d'appareils, en gestionnaires de batteries et même, en applications astrologique.

Contrairement aux applications malveillantes de plus en plus répandues qui ne font que se faire passer pour des institutions financières légitimes et affichent de faux écrans de connexion, ces applications appartiennent à la catégorie des logiciels malveillants bancaires mobiles sophistiqués dotés de fonctionnalités complexes et fortement axés sur la furtivité.

Ces chevaux de Troie télécommandés sont capables de cibler dynamiquement toutes les applications trouvées sur l'appareil de la victime avec des formulaires d’hameçonnage (ou phishing) personnalisés. En outre, ils peuvent intercepter et rediriger les messages texte pour contourner l'authentification à deux facteurs basée sur les SMS, intercepter les journaux d'appels, et télécharger et installer d'autres applications sur l'appareil compromis. Ces applications malveillantes ont été téléchargées sous des noms et des formes de développeurs différents, mais les similarités de code et un serveur C&C partagé suggèrent que les applications sont le travail d'un seul attaquant ou groupe.

Figure 1 - Exemples de chevaux de Troie bancaires trouvés sur Google Play

Les 29 applications malveillantes analysées ont toutes été retirées de la boutique officielle d'Android entre-temps, après que ESET et ses collègues chercheurs eurent informé Google de leur nature malveillante. Avant d'être retirées du magasin cependant, ces dernières avaient déjà été installées par près de 30 000 utilisateurs au total.

Comment fonctionnent-ils?

Une fois lancées, les applications affichent une erreur affirmant qu'elles ont été supprimées en raison d'une incompatibilité avec l'appareil de la victime, puis se cachent de la vue de la victime, ou fournissent les fonctionnalités promises - comme l'affichage des horoscopes.

Figure 2 - Un faux message d'erreur affiché par l’un de ces chevaux de Troie au lancement

Indépendamment de l'activité qu’affichent précédemment ces applications, sa principale fonctionnalité malveillante est cachée dans une charge utile chiffrée située dans les ressources de chaque application. Cette charge utile est encodée à l'aide de base64, puis chiffrée à l'aide d'un chiffrement RC4 à l'aide d'une clé codée en dur. La première étape de l'activité du logiciel malveillant est un dropper qui vérifie d'abord la présence d'un émulateur ou d'un bac à sable. Si ces contrôles échouent, il déchiffre et laisse tomber un chargeur et une charge utile qui contient le logiciel malveillant bancaire réel. Certaines des applications que nous avons analysées contenaient plus d'une étape de ces charges utiles chiffrées.

Figure 3 - Fonctionnalité pour détecter un émulateur Android

La fonctionnalité de la charge utile finale consiste à se faire passer pour des applications bancaires installées sur l'appareil de la victime, à intercepter et à envoyer des messages SMS, et à télécharger et installer des applications supplémentaires au choix de l'opérateur. La caractéristique la plus importante est que le logiciel malveillant peut imiter dynamiquement n'importe quelle application installée sur un appareil compromis. Ceci est obtenu en obtenant le code HTML des applications installées sur le dispositif et en utilisant ce code pour superposer des applications légitimes avec des formulaires fictifs une fois que les applications légitimes sont lancées, donnant à la victime très peu de chance de remarquer quelque chose ne va pas.

Comment rester en sécurité

Heureusement, ces chevaux de Troie bancaires particuliers (dont la liste complète se trouve dans la section IoCs) n'emploient pas d'astuces avancées pour assurer leur persistance sur les dispositifs affectés. Par conséquent, si vous pensez avoir installé l'une de ces applications, vous pouvez simplement les désinstaller sous Paramètres > (Général) > Gestionnaire d'applications/applications.

Nous vous conseillons également de vérifier votre compte bancaire pour détecter les transactions suspectes et d'envisager de changer votre mot de passe/NIP bancaire en ligne.

Pour éviter d'être victime d'un logiciel malveillant bancaire, nous vous recommandons de suivre les conseils suivants :

• Ne téléchargez que des applications à partir de la boutique officielle de Google Play. Bien que ceci ne garantisse pas que l'application n'est pas malveillante, les applications comme celles-ci sont beaucoup plus courantes sur les boutiques d'applications tierces, où elles sont rarement supprimées une fois découvertes, contrairement à Google Play.
• Assurez-vous de vérifier le nombre de téléchargements, le classement des applications et le contenu des critiques avant de télécharger des applications depuis Google Play.
• Faites attention aux permissions que vous accordez aux applications que vous installez
• Gardez votre appareil Android à jour et utilisez une solution de sécurité mobile fiable; les produits ESET détectent et bloquent cette menace sous Android/TrojanDropper.Agent.CIQ.

Un grand merci à Nikolaos Chrysaidos pour avoir attiré notre attention sur certaines de ces applications malveillantes.

Indicateurs de compromission (IoCs)