Google a retiré 60 applications infectées par des logiciels malveillants de son Play Store, installées par plus de 3,3 millions de parieurs, qui peuvent être utilisées pour toutes sortes d’activités criminelles, y compris le vol d’informations d’identification, l’espionnage et même le vol d’argent aux victimes.
ThreatLabZ de Zscaler et Maxime Ingrao, chercheur en sécurité de la société de protection contre la fraude Evina, ont découvert les applications de téléchargement bourrées de logiciels malveillants, notamment Joker, Facestealer, Coper et Autolycos – ce dernier est une nouvelle famille, selon Ingrao, qui a nommé et découvert Autolycos dans huit applications différentes avec plus de trois millions de téléchargements sur les appareils Android.
La nouvelle souche de logiciels malveillants, similaire à Joker, vole les messages SMS lorsqu’ils sont téléchargés et souscrit involontairement les utilisateurs à – et les facture pour l’utilisation – services de protocole d’application sans fil premium, Ingrao Tweeted.
Trouvé une nouvelle famille de logiciels malveillants qui s’abonnent à des services 👀premium 8 applications depuis juin 2021, 2 applications toujours dans Play Store, +3M installe 💀💀Pas de webview comme #Joker mais seulement les requêtes httpAppelons-le #Autolycos 👾#Android #Malware #Evina pic.twitter.com/SgTfrAOn6H
— Maxime Ingrao (@IngraoMaxime) 13 juillet 2022
Ce logiciel espion est conçu pour voler des messages SMS, des listes de contacts et des informations sur l’appareil, et pour inscrire la victime à des services WAP (Wireless Application Protocol) premium.
« Il récupère un JSON sur l’adresse C2: 68.183.219.190 / pER / y », a-t-il expliqué. Il exécute ensuite les urls, pendant certaines étapes, il exécute les urls sur un navigateur distant et renvoie le résultat pour l’inclure dans les requêtes. Cela lui permet de ne pas avoir de Webview et d’être plus discret. »
De plus, les fraudeurs ont créé des publicités Facebook et Instagram pour promouvoir les fausses applications, Ingrao renommé.
Les applications malveillantes incluent :
- Vlog Star Video Editor — 1 million de téléchargements
- Creative 3D Launcher — 1 million de téléchargements
- Wow Beauty Camera — 100 000 téléchargements
- Gif Emoji Keyboard — 100 000 téléchargements
- Freeglow Camera — 5 000 téléchargements
- Coco Camera v1.1 — 1 000 téléchargements
- Funny Camera — 500 000 téléchargements
- Razer Keyboard & Theme — 50 000 téléchargements
Joker, Facestealer et Coper refont surface
Pendant ce temps, les chasseurs de menaces de Zscaler ont déclaré cette semaine que Google avait supprimé 52 applications supplémentaires infestées de logiciels malveillants sur le Play Store, et 50 d’entre elles ont été utilisées pour déployer Joker, ce qui a été un problème persistant pour les appareils Android. Ils ont également découvert les logiciels malveillants Facestealer et Coper dans deux autres applications malveillantes, et celles-ci ont également été démarrées à partir du marché en ligne.
Les applications de diffusion de Joker ont été téléchargées plus de 300 000 fois, selon les chercheurs en sécurité Viral Gandhi et Himanshu Sharma, qui ont fourni une analyse technique des trois charges utiles de la famille de logiciels malveillants et répertorié les 50 téléchargeurs joker sur un article de blog ThreatLabZ.
« Malgré la sensibilisation du public à ce malware particulier, il continue de se retrouver dans la boutique d’applications officielle de Google en modifiant régulièrement les signatures de trace du malware, y compris les mises à jour du code, les méthodes d’exécution et les techniques de récupération de charge utile », Gandhi et Sharma écrivirent.
Une fois téléchargé, le malware Joker vole les messages SMS, les listes de contacts et les informations sur l’appareil et inscrit sans le savoir la victime à des services premium.
« Le plus souvent, les acteurs de la menace déguisent le malware Joker dans des applications de messagerie qui obligent les utilisateurs à accorder des autorisations d’accès escaladées en leur permettant de servir d’application SMS par défaut sur le téléphone de l’utilisateur », ont noté les chasseurs de menaces. « Le malware utilise ces autorisations avancées pour effectuer ses opérations. »
De plus, Zscaler a découvert Que Facestealer se cachait dans l’application cam.vanilla.snap maintenant supprimée sur Google Play Store, qui comptait 5 000 téléchargements. Ce malware cible les utilisateurs de Facebook via de fausses pages de connexion Facebook pour voler des informations d’identification. Et enfin, l’équipe de sécurité a également découvert le cheval de Troie bancaire Coper déguisé en application Unicc QR Scanner.
« Une fois téléchargée, cette application libère l’infection par le logiciel malveillant Coper qui est capable d’intercepter et d’envoyer des messages texte SMS, de faire des demandes USSD (Unstructured Supplementary Service Data) pour envoyer des messages, d’enregistrer des frappes, de verrouiller / déverrouiller l’écran de l’appareil, d’effectuer des attaques excessives, d’empêcher les désinstallations et généralement de permettre aux attaquants de prendre le contrôle et d’exécuter des commandes sur un appareil infecté via une connexion à distance avec un serveur C2, Gandhi et Sharma ont écrit. ®
