Plus de 90 applications malveillantes ont infiltré le Play Store. Ces apps Android cachent plusieurs types de logiciels malveillants, à commencer par le redoutable virus Anatsa. Ce malware est conçu pour siphonner le compte bancaire de ses victimes…
Les chercheurs en sécurité de Zscaler ont découvert plus de 90 applications Android malveillantes sur le Play Store, la boutique de Google, au cours des deux derniers mois. D’après les chercheurs, les applications ont été téléchargées à plus de 5,5 millions de reprises par le biais de la plateforme par défaut d’Android. Le rapport ne communique pas la liste des applications qui renferment un malware.
Le énième retour en force du malware Anatsa
Dans le code de certaines de ces applications frauduleuses, les experts ont identifié la présence d’un malware bien connu : Anatsa, alias Teabot. Ce cheval de Troie bancaire est programmé pour s’attaquer à plus de 650 applications d’institutions financières en Europe, aux États-Unis, au Royaume-Uni et en Asie.
Une fois qu’il a été installé sur le smartphone de ses victimes, le virus « exfiltre les informations d’identification bancaires et les informations financières sensibles des applications financières ». Avec ces données, les cybercriminels peuvent pénétrer dans le compte de leurs victimes et réaliser des transferts.
Pour arriver à ses fins, Anatsa s’appuie sur des tactiques très classiques, comme la superposition.
Cette stratégie consiste à afficher une fenêtre malveillante factice au-dessus d’une application bancaire ou financière. Cette fenêtre reprend à la lettre le design de l’interface de l’application. Les victimes n’y voient que du feu et entrent leurs identifiants, à savoir et leur nom et leur mot de passe.
Notez que Zscaler a identifié une pléthore d’autres logiciels malveillants sur la boutique de Google. Les chercheurs ont surtout épinglé Joker, un autre cheval de Troie récalcitrant, Facestealer, un voleur d’identifiants Facebook et Coper, un cheval de Troie particulièrement sophistiqué.
Comment Anatsa berne le Play Store ?
En l’occurrence, Anatsa était caché dans deux applications d’apparence anodine, à savoir PDF Reader & File Manager et QR Reader & File Manager. Elles ont été téléchargées plus de 70 000 fois sur le Play Store, indique l’enquête de Zscaler. Les chercheurs soulignent que « le nombre élevé d’installations contribue également à tromper les victimes en leur faisant croire que ces applications sont authentiques ».
Pour échapper aux sécurités mises en place par Google, les cybercriminels évitent de placer des lignes de code malveillantes dans les applications avant qu’elles soient approuvées.
En fait, les apps attendent d’arriver sur le smartphone de leurs cibles pour orchestrer leurs attaques. Elles commencent par récupérer des instructions depuis un serveur à distance. Ensuite, elles récupèrent un fichier malveillant depuis ce serveur. C’est ce fichier qui se charge d’installer l’APK du malware sur le téléphone. Comme l’explique le rapport, « cette approche stratégique permet au logiciel malveillant d’être téléchargé sur le Google Play Store officiel et d’échapper à la détection ».
Il n’est pas rare qu’Anatsa parvienne à s’infiltrer sur le Play Store en dépit des mesures de sécurité prises par Google.
L’an dernier, le logiciel malveillant avait déjà réussi à entrer sur la boutique en se camouflant dans cinq applications Android taillées pour la lecture de documents PDF sur smartphone. Plus récemment, les chercheurs de Threat Fabric ont découvert qu’Anatsa avait piégé 150 000 smartphones Android par le biais du Play Store.
De facto, on vous recommande de redoubler de prudence lorsque vous installez « des lecteurs de PDF et des lecteurs de code QR » depuis le Play Store.
Comme l’indique Zscaler, on trouve aussi des virus dans de nombreuses applications de « gestionnaires de fichiers, d’éditeurs et de traducteurs ». On vous conseille de vous cantonner aux applications reconnues et proposées par des développeurs réputés. Avant d’installer une app, même sur le Play Store, prenez le temps de consulter les avis et les commentaires.
ZScaler
