Microsoft a détaillé les capacités évolutives des applications de logiciels malveillants de fraude téléphonique sur Android, soulignant son « flux d’attaque complexe en plusieurs étapes » et un mécanisme amélioré pour échapper à l’analyse de sécurité.

La fraude à l’appel appartient à une catégorie de fraude à la facturation dans laquelle les applications mobiles malveillantes s’accompagnent de frais d’abonnement cachés, entraînant des utilisateurs sans méfiance vers du contenu premium à leur insu ou sans leur consentement.

Il est également différent des autres menaces de logiciels polaires en ce que les fonctions malveillantes ne sont exécutées que lorsqu’un appareil compromis est connecté à l’un de ses opérateurs de réseau cibles.

« Il utilise également, par défaut, une connexion cellulaire pour ses activités et force les appareils à se connecter au réseau mobile même si une connexion Wi-Fi est disponible », Dimitrios Valsamaras et Sang Shin Jung de l’équipe de recherche Microsoft 365 Defender. a dit dans une analyse exhaustive.

« Une fois la connexion à un réseau cible confirmée, il initie furtivement un abonnement frauduleux et le confirme sans le consentement de l’utilisateur, dans certains cas même en interceptant le mot de passe à usage unique (OTP) pour ce faire. »

Ces applications sont également connues pour supprimer les notifications SMS liées à l’abonnement afin d’empêcher les victimes de prendre connaissance de la transaction frauduleuse et de se désabonner du service.

Fondamentalement, la fraude au péage profite du mode de paiement qui permet aux consommateurs de s’abonner à des services payants à partir de sites Web prenant en charge le protocole d’application sans fil (WAP). Ces frais d’abonnement sont facturés directement sur les factures de téléphonie mobile des utilisateurs, ce qui évite d’avoir à configurer une carte de crédit ou de débit ou à saisir un nom d’utilisateur et un mot de passe.

« Si l’utilisateur se connecte à Internet via des données mobiles, l’opérateur de réseau mobile peut l’identifier par son adresse IP », a noté Kaspersky dans un communiqué. rapport 2017 à propos des cliqueurs de chevaux de Troie de facturation WAP. « Les opérateurs de réseaux mobiles ne facturent les utilisateurs que s’ils sont identifiés avec succès. »

Facultativement, certains fournisseurs peuvent également exiger des OTP comme deuxième couche de confirmation de l’abonnement avant d’activer le service.

« En cas de fraude téléphonique, le logiciel malveillant effectue l’abonnement au nom de l’utilisateur de manière à ce que le processus global ne soit pas perceptible », ont déclaré les chercheurs. « Le logiciel malveillant communiquera avec un [command-and-control] serveur pour récupérer une liste des services offerts. »

Il y parvient en désactivant d’abord le Wi-Fi et en activant les données mobiles, puis en utilisant JavaScript pour s’abonner furtivement au service, et en interceptant et en envoyant le code OTP (le cas échéant) pour terminer le processus.

Le code JavaScript, quant à lui, est conçu pour cliquer sur des éléments HTML qui contiennent des mots-clés tels que « confirmer », https://thehackernews.com/2022/07/« cliquer » et « continuer » pour initier par programme l’abonnement.

Lors d’un abonnement frauduleux réussi, le logiciel malveillant dissimule les messages de notification d’abonnement ou abuse de ses autorisations SMS pour supprimer les messages SMS entrants contenant des informations sur le service souscrit de l’opérateur de réseau mobile.

Les logiciels malveillants de fraude à l’interurbain sont également connus pour dissimuler leur comportement malveillant au moyen du chargement de code dynamique, une fonctionnalité d’Android qui permet aux applications d’extraire des modules supplémentaires d’un serveur distant pendant l’exécution, ce qui le rend mûr pour l’abus par des acteurs malveillants.

Du point de vue de la sécurité, cela signifie également qu’un auteur de logiciels malveillants peut concevoir une application de sorte que la fonctionnalité malveillante ne soit chargée que lorsque certaines conditions préalables sont remplies, ce qui annule efficacement les contrôles d’analyse de code statique.

« Si une application permet le chargement de code dynamique et que le code chargé dynamiquement extrait des messages texte, elle sera classée comme un logiciel malveillant de porte dérobée », a déclaré Google. étale dans la documentation des développeurs sur les applications potentiellement dangereuses (PHA).

Avec un taux d’installation de 0,022 %, les applications de fraude au péage comptabilisé pour 34,8 % de tous les PHA installés à partir du marché des applications Android au premier trimestre 2022, se classant en dessous des logiciels espions. La plupart des installations provenaient d’Inde, de Russie, du Mexique, d’Indonésie et de Turquie.

Pour atténuer la menace des logiciels malveillants de fraude téléphonique, il est recommandé aux utilisateurs d’installer uniquement des applications à partir du Google Play Store ou d’autres sources fiables, d’éviter d’accorder des autorisations excessives aux applications et d’envisager de passer à un nouvel appareil s’il cesse de recevoir des mises à jour logicielles.