Une version modifiée de l’application de messagerie WhatsApp pour Android a été transformée en cheval de Troie pour diffuser des charges utiles malveillantes, afficher des publicités en plein écran et inscrire les propriétaires d’appareils à des abonnements premium indésirables à leur insu.
« Le cheval de Troie Triada s’est faufilé dans l’une de ces versions modifiées du messager appelée FMWhatsApp 16.80.0 avec le kit de développement de logiciels publicitaires (SDK) », des chercheurs de la société russe de cybersécurité Kaspersky mentionné dans un article technique publié mardi. « C’est similaire à ce qui s’est passé avec APKPure, où le seul code malveillant intégré à l’application était un téléchargeur de charge utile. »
Les versions modifiées des applications Android légitimes – alias Modding – sont conçues pour exécuter des fonctions non conçues ou prévues à l’origine par les développeurs d’applications, et FMWhatsApp permet aux utilisateurs de personnaliser l’application avec différents thèmes, de personnaliser les icônes et de masquer les fonctionnalités comme la dernière fois, et même de désactiver fonctionnalités d’appel vidéo.
La variante falsifiée de l’application détectée par Kaspersky est dotée de capacités permettant de collecter des identifiants d’appareil uniques, qui sont envoyés à un serveur distant qui répond avec un lien vers une charge utile qui est ensuite téléchargée, déchiffrée et lancée par le cheval de Troie Triada.
La charge utile, pour sa part, peut être utilisée pour effectuer un large éventail d’activités malveillantes allant du téléchargement de modules supplémentaires et de l’affichage d’annonces en plein écran à l’abonnement furtif des victimes à des services premium et à la connexion à des comptes WhatsApp sur l’appareil. Pire encore, les attaquants peuvent détourner et prendre le contrôle des comptes WhatsApp pour mener des attaques d’ingénierie sociale ou distribuer des messages de spam, propageant ainsi le malware vers d’autres appareils.
« Il convient de souligner que les utilisateurs de FMWhatsapp autorisent l’application à lire leurs messages SMS, ce qui signifie que le cheval de Troie et tous les autres modules malveillants qu’il charge y ont également accès », ont déclaré les chercheurs. « Cela permet aux attaquants d’inscrire automatiquement la victime à des abonnements premium, même si un code de confirmation est requis pour terminer le processus. »
