Une explosion du ciblage des malwares Android utilisateurs est alimenté en partie par un marché naissant pour les kits de création de codes malveillants mobiles, ainsi que par un marché florissant pour les comptes de développeurs piratés ou frauduleux sur jeu de Google qui peuvent être utilisés pour déguiser les logiciels malveillants en applications légitimes à vendre.
Une publicité Underweb pour Perkele
J’ai récemment rencontré un développeur de logiciels malveillants Android sur un forum Underweb semi-privé qui achetait activement des comptes de développeur vérifiés sur Google Play pour 100 $ chacun. Google ne facture que 25 $ aux développeurs Android qui souhaitent vendre leurs applications via le marché Google Play, mais il exige également que les comptes soient approuvés et liés à un domaine spécifique. Dans ce cas, l’acheteur offre 100 $ aux vendeurs désireux de se séparer d’un compte Play actif et vérifié lié à un serveur dédié.
Sans surprise, cet entrepreneur en particulier vend également un package de logiciels malveillants Android SMS qui cible les clients de Citibank, HSBC et ING, ainsi que 66 autres institutions financières en Australie, France, Inde, Italie, Allemagne, Nouvelle-Zélande, Singapour, Espagne, Suisse et Turquie (la liste complète est ici). Les banques ciblées proposent des SMS comme forme d’authentification multi-facteurs, et ce bot est conçu pour intercepter tous les SMS entrants sur les téléphones Android infectés.
Ce kit de bot – surnommé « Perkele » par un malcodeur qui porte le même surnom (« perkele » est un Mot de malédiction finlandais pour « diable » ou « putain ») – ne semble pas terriblement diabolique ou sophistiqué comme le disent les logiciels malveillants mobiles modernes. Pourtant, à en juger par le nombre et la réputation des acheteurs du forum qui ont approuvé le logiciel malveillant de Perkele, il semble assez populaire et fonctionne comme annoncé.
Perkele est conçu pour fonctionner en tandem avec les logiciels malveillants PC « Web injects », des composants de codes malveillants qui peuvent modifier les sites Web bancaires tels qu’ils sont affichés dans le navigateur de la victime. Lorsque la victime se connecte à son compte bancaire sur son PC, le logiciel malveillant Web inject informe la victime que pour terminer la deuxième partie d’authentification mobile du processus de connexion, l’utilisateur devra installer un certificat de sécurité spécial sur son téléphoner. La victime est ensuite invitée à entrer son numéro de téléphone portable et reçoit un SMS ou un lien HTTP pour télécharger le malware mobile.
Une fois que la victime a installé l’application mobile de « sécurité » et l’a vérifiée avec un code spécial fourni, l’application renvoie un SMS au détenteur de la licence du kit de logiciels malveillants. Perkele prend également en charge la suppression du bot mobile par SMS. Les clients peuvent acheter une application à usage unique qui cible une institution financière spécifique pour 1 000 $ ; l’auteur du logiciel malveillant vend également un « kit universel » pour 15 000 USD, qui semble être un générateur de logiciels malveillants par SMS permettant un nombre illimité de versions ciblant toutes les banques prises en charge.
Bien sûr, il existe des menaces de logiciels malveillants mobiles bien plus sophistiquées en circulation que tout ce que Perkele pourrait aider à imaginer. De nombreuses variantes de la plateforme multiplateforme ZeuS-in-the-Mobile ou Logiciel malveillant Zitmo ont vu le jour, mais ils sont conçus pour fonctionner en tandem avec une souche spécifique de logiciels malveillants pour PC (ZeuS). Ce qui rend Perkele intéressant, c’est qu’il peut essentiellement être chargé en tant que module complémentaire par pratiquement n’importe quelle famille de logiciels malveillants financiers prenant en charge les injections Web.
Autres exemples récents de malwares mobiles identifié par la société de sécurité russe Kaspersky faire ressembler Perkele à un jouet d’enfant. En particulier, la société a identifié un nouveau bot Android qui se fait passer pour une application « plus propre » destinée à libérer de la mémoire pour le système d’exploitation de Google, mais qui fait des ravages sur votre smartphone en arrière-plan et sur le système d’exploitation de Microsoft lorsqu’il est connecté à un PC. Certaines des fonctionnalités de ce logiciel malveillant incluent la possibilité d’activer le microphone sur le PC de la victime, d’activer le Wi-Fi sur le téléphone et de capturer toutes les données de la carte mémoire du téléphone.
Dis ce que tu veux à propos de Pommeest « fermé » ou « approuvé » iTunes magasin pour les applications iPhone, mais il semble faire un travail relativement formidable pour empêcher les applications malveillantes d’entrer. L’année dernière, les logiciels malveillants sur les smartphones ont augmenté de plus de 780 % par rapport à 2011, selon un rapport Kaspersky sorti le mois dernier. La société a découvert que 99 % des logiciels malveillants mobiles ciblaient les appareils Android. Au cours de l’année 2011, en moyenne 800 nouveaux types de programmes malveillants ont été découverts chaque mois, et ce chiffre est passé en 2012 à 6 300 programmes. L’année dernière, la plus grande catégorie de logiciels malveillants mobiles était les chevaux de Troie SMS qui se cachaient dans de fausses applications et de faux liens et pouvaient vider les comptes bancaires.
Heureusement, un minimum de bon sens et de contrôle des impulsions peut éviter les ennuis à la plupart des utilisateurs d’Android. Prenez un moment pour lire et comprendre les autorisations d’une application avant de l’installer. Assurez-vous également de télécharger des applications qui sont analysées via Bouncer (le scanner de logiciels malveillants interne de Google). Enfin, faites un peu de diligence raisonnable avant d’installer une application : prendriez-vous au hasard un programme Windows et l’installeriez-vous sans rien savoir de sa réputation, de sa durée d’existence, etc. ? Espérons que non. Traitez votre téléphone avec le même respect, sinon il pourrait bientôt ne plus vous appartenir.