Logiciels malveillants Android : 105 millions d’utilisateurs victimes d’applications « Dark Herring »

Quand vous pensez aux logiciels malveillants, qu’envisagez-vous ? De nombreuses personnes pensent immédiatement aux fenêtres contextuelles, aux virus ou aux rançongiciels qui interfèrent avec leurs postes de travail ou leurs ordinateurs portables. Cependant, les cybercriminels passent plus de temps à poursuivre les autres appareils informatiques que nous transportons tous au quotidien : téléphones intelligents. Les appareils mobiles sont une cible de choix pour les logiciels malveillants, nous ne devons donc pas oublier qu’ils y sont vulnérables. Par exemple, plus de 100 millions d’appareils dans plus de 70 pays ont récemment été touchés par le malware Android connu sous le nom de Dark Herring. Zimperium, une société de sécurité numérique qui collabore avec Google pour lutter contre les logiciels malveillants, a qualifié Dark Herring de « l’escroquerie par SMS mobile la plus ancienne » qu’ils aient découverte à ce jour.

Qu’est-ce que le logiciel malveillant Android Dark Herring ?

Une ventilation des applications malveillantes Dark Herring. (Graphique courtoisie de Zimperium)

Le malware Android Dark Herring est basé sur un vaste réseau de près de 500 applications mobiles d’aspect inoffensif qui ont été distribuées via le Google Play Store et d’autres magasins d’applications tiers. Ces applications ont été découvertes pour la première fois en mars 2020, mais beaucoup d’entre elles circulaient probablement bien avant cette date.

Selon le rapport Zimperium, ces applications semblent relativement banales à première vue : «[the apps] semblent inoffensifs lorsque l’on regarde la description du magasin et les autorisations demandées. Ils couvraient un large éventail de catégories, notamment des jeux, des outils de productivité, des éditeurs de photos, des applications de personnalisation de téléphone et des trackers sportifs. Les applications seraient entièrement fonctionnelles, de sorte que les utilisateurs sont plus susceptibles de les laisser installées à long terme. « Ces applications ne sont pas seulement des clones les unes des autres ou d’autres applications, mais sont uniquement produit à un taux élevé pour tromper les outils de sécurité traditionnels et les victimes potentielles.

Abonnez-vous aujourd’hui et économisez !

Pour rendre l’arnaque convaincante auprès d’un public plus large, les applications Dark Herring ont automatiquement modifié leur langue et leur contenu en fonction de l’adresse IP de l’utilisateur, une fonctionnalité que Zimperium a qualifiée d' »exceptionnellement polyvalente ». Les utilisateurs aux États-Unis verraient des variantes des applications destinées à cibler les anglophones, tandis que les utilisateurs en Russie ou en Chine verraient des versions adaptées à eux.

Pays dont les utilisateurs ont été ciblés par Dark Herring. (Graphique courtoisie de Zimperium)

Le rapport indique que 70 pays ont été ciblés par les applications malveillantes Android Dark Herring. La carte ci-dessus de Zimperium indique ces pays en jaune ; les pays surlignés en rouge ont été évalués comme présentant un risque plus élevé en raison de leur manque de protection juridique des consommateurs qui aiderait les victimes à récupérer l’argent perdu à cause des escroqueries à la facturation des téléphones portables.

Une fois que les utilisateurs ont installé l’une des applications malveillantes, ils ont finalement été dirigés vers une page demandant leur numéro de téléphone. Cela aurait pu ressembler à une vérification d’authentification à 2 facteurs ordinaire, mais c’était plus sinistre. Zimperium écrit : « En réalité, ils soumettent leur numéro de téléphone à un Service de facturation directe par l’opérateur qui commence à leur facturer en moyenne 15 USD par mois. La victime ne remarque pas immédiatement l’impact du vol, et la probabilité que la facturation se poursuive pendant des mois avant la détection est élevée, avec peu ou pas de recours pour récupérer son argent.

Deux exemples de logiciels malveillants Dark Herring avec des frais cachés. (Graphique courtoisie de Zimperium)

Les statistiques de téléchargement montrent que plus de 105 millions d’appareils Android dans le monde ont installé au moins une de ces applications malveillantes Dark Herring. La déclaration de Zimperium a renforcé la nature relativement sophistiquée de cette entreprise criminelle : « Le groupe cybercriminel derrière cette campagne a construit un flux de trésorerie stable de fonds illicites auprès de ces victimes, générer des millions de revenus récurrents chaque mois, avec le montant total volé potentiellement bien dans les centaines de millions. Les centaines d’applications variées sous l’égide de Dark Herring fournissent également des données de commande et de contrôle (C&C) aux créateurs de manière systématique, indiquant que les développeurs de logiciels malveillants ont construit ces applications variées pour fonctionner ensemble en tant que système. Cela semble avoir inspiré le nom – ces applications malveillantes Android sont comme des poissons individuels dans une école cohérente.

État actuel et leçons apprises

Grâce en partie au rapport Zimperium, Google a supprimé toutes les applications connues liées à ce malware Android du Google Play Store. Les services d’escroquerie et les sites de phishing liés à ces applications auraient également été désactivés. Cependant, Zimperium affirme que le malware Dark Herring est toujours disponible via des magasins d’applications tiers et est probablement toujours présent sur des millions d’appareils, créant une ouverture pour les créateurs pour victimiser les mêmes appareils avec de nouvelles escroqueries à une date ultérieure.

En raison des énormes profits générés par Dark Herring, il semble probable que les créateurs appliqueront leurs compétences à de nouvelles formes de logiciels malveillants à l’avenir.

Cela devrait vous rappeler de vous méfier des applications que vous installez sur votre smartphone ou votre tablette. Même si les applications semblent légitimes, ont des critiques positives et sont disponibles dans les magasins d’applications officiels, ces facteurs ne garantissent pas qu’elles ne sont pas malveillantes. Si une application semble suspecte, demandez-vous si vous en avez vraiment besoin et lisez attentivement tous les petits caractères avant de soumettre des informations personnelles (y compris votre numéro de téléphone).

Pour plus de conseils sur la cybersécurité, consultez nos articles précédents :

Écrit par Patrick McCarthy