Des centaines d’applications frauduleuses touchent plus de 10 millions d’appareils Android

Google a pris des mesures des mesures de plus en plus sophistiquées pour empêcher les applications malveillantes d’entrer dans Google Play. Mais une nouvelle série de retraits impliquant environ 200 applications et plus de 10 millions de victimes potentielles montre que ce problème de longue date est loin d’être résolu – et dans ce cas, il a potentiellement coûté des centaines de millions de dollars aux utilisateurs.

Les chercheurs de l’entreprise de sécurité mobile Zimperium affirment que le problème de la sécurité des applications est en train de s’aggraver. campagne d’escroquerie massive sévit sur Android depuis novembre 2020. Comme c’est souvent le cas, les attaquants ont réussi à introduire en douce dans Google Play des applications d’apparence bénigne telles que « Handy Translator Pro », « Heart Rate and Pulse Tracker » et « Bus – Metrolis 2021 », qui servaient de couverture à quelque chose de plus sinistre. Après avoir téléchargé l’une de ces applications malveillantes, la victime recevait un flot de notifications, cinq par heure, l’invitant à « confirmer » son numéro de téléphone pour réclamer un prix. La page de réclamation du « prix » se charge par le biais d’un navigateur intégré à l’application, une technique courante pour maintenir les indicateurs malveillants hors du code de l’application elle-même. Une fois que l’utilisateur a saisi son numéro de téléphone, les pirates l’inscrivent à un forfait mensuel récurrent d’environ 42 dollars par le biais de la fonction de services SMS premium des factures de téléphonie mobile. Il s’agit d’un mécanisme qui permet normalement de payer des services numériques ou, par exemple, d’envoyer de l’argent à une organisation caritative par SMS. Dans ce cas, l’argent est allé directement aux escrocs.

Ces techniques sont courantes dans les applications malveillantes du Play Store, et la fraude par SMS premium en particulier est un problème notoire. Mais les chercheurs estiment qu’il est significatif que les attaquants aient été en mesure d’enchaîner ces approches connues d’une manière qui était encore extrêmement efficace – et en nombre stupéfiant – même si Google a continuellement amélioré sa sécurité Android et les défenses du Play Store.

Richard Melick, directeur de la stratégie produit de Zimperium pour la sécurité des points d’accès, déclare :  » C’est un résultat impressionnant en termes d’échelle « . « Ils ont poussé l’ensemble des techniques dans toutes les catégories ; ces méthodes sont raffinées et éprouvées. Et il s’agit vraiment d’un effet de tapis de bombes lorsqu’il s’agit de la quantité d’applications. L’une peut réussir, une autre peut ne pas réussir, et c’est très bien ainsi. »

L’opération visait les utilisateurs d’Android dans plus de 70 pays et vérifiait spécifiquement leurs adresses IP pour avoir une idée de leurs régions géographiques. L’application affichait les pages Web dans la langue principale du pays concerné afin de rendre l’expérience plus attrayante. Les opérateurs de logiciels malveillants ont pris soin de ne pas réutiliser les URL, ce qui peut permettre aux chercheurs en sécurité de les suivre plus facilement. Le contenu généré par les attaquants était de grande qualité, sans les fautes de frappe et de grammaire qui peuvent trahir des escroqueries plus évidentes.

Zimperium est membre de l’App Defense Alliance de Google, une coalition de sociétés tierces qui aident à garder un œil sur les logiciels malveillants du Play Store, et la société a révélé la campagne dite GriftHorse dans le cadre de cette collaboration. Google indique que toutes les applications identifiées par Zimperium ont été supprimées du Play Store et que les développeurs d’applications correspondants ont été bannis.

Les chercheurs soulignent toutefois que les applications – dont beaucoup ont été téléchargées par centaines de milliers – sont toujours disponibles dans des magasins d’applications tiers. Ils notent également que si la fraude par SMS surtaxés est une vieille rengaine, elle reste efficace car les frais malveillants n’apparaissent généralement pas avant la prochaine facture de téléphonie mobile de la victime. Si les pirates parviennent à installer leurs applications sur des appareils d’entreprise, ils peuvent même inciter les employés de grandes sociétés à souscrire à des frais qui pourraient passer inaperçus pendant des années sur un numéro de téléphone d’entreprise.

Même si la suppression d’un si grand nombre d’applications ralentit pour l’instant la campagne de GriftHorse, les chercheurs soulignent que de nouvelles variantes apparaissent toujours.

« Ces attaquants sont organisés et professionnels. Ils en ont fait une entreprise, et ils ne vont pas simplement passer à autre chose », déclare Shridhar Mittal, PDG de Zimperium. « Je suis certain qu’il ne s’agissait pas d’une action ponctuelle ».