Lumières sur la sécurité

jeudi 19 janvier 2023

Presque chacun d'entre nous possède un gadget mobile : Smartphone ou tablette. Aujourd'hui, le marché des appareils mobiles est complètement dominé par deux acteurs : Google avec le système d'exploitation Android, et Apple avec le système d'exploitation iOS. Déterminer celui qui est le mieux est un éternel débat. On notera seulement que ces systèmes sont aux antipodes, qui opposent "ouverture" et "fermeture", "liberté" et "limites strictes". Par exemple, iOS est conçu pour fonctionner uniquement sur les appareils Apple. Et le système d'exploitation de Google fonctionne littéralement sur tous les autres gadgets mobiles et de nombreux appareils de l'Internet des objets, qui sont produits par une variété de fabricants. Autre différence importante : par défaut, sur un apareil tournant sous iOS, seuls les applications de l'AppStore peuvent être installées. Il est possible de contourner cette limitation, mais ce n'est pas évident pour l'utilisateur ordinaire. Par contre, Android vous permet d'installer des applications non seulement du catalogue officiel, mais également de toute autre source. Cette polyvalence d'Android, couplée à sa popularité, a, par définition, un impact négatif sur la sécurité. Et dans cette publication du projet Lumières sur la sécurité, nous parlerons des fausses applications Android qui peuvent représenter une réelle menace pour l'utilisateur.

Il est à noter que les appareils Apple peuvent également être attaqués. Cependant, la " fermeture " de l'OS lui-même, ainsi qu'une modération assez poussée des applications disponibles dans l'AppStore ne permettent pas aux cybercriminels de prendre de l'envergure sur ce store. Bien sûr, les " iPhones " peuvent également avoir (et ils en ont) des vulnérabilités qui sont de temps en temps détectées par des chercheurs et des pirates. Mais si nous parlons d'applications malveillantes répandues, les propriétaires d'appareils Android sont beaucoup plus à risque.

Comme nous l'avons déjà mentionné, le système d'exploitation Android permet à l'utilisateur d'installer des applications non seulement à partir de répertoires officiels, mais également à partir de n'importe quelle source. Les fichiers d'installation ont une extension .apk. Ils peuvent être téléchargés sur Internet, reçus par courrier ou via Messenger. Le principal danger réside dans le fait que ces programmes ne sont modérés par personne, de sorte que le risque d'exécuter des logiciels malveillants sur le téléphone augmente. Les outils de protection embarqués d'Android ne sont pas très puissants. Au démarrage, l'utilisateur ne verra qu'une liste d'autorisations demandées par telle ou telle appli installée. Les versions modifiées et "crackées" de programmes légitimes sont souvent distribuées sous forme de fichiers APK. Déterminer d'une manière sûr si un fichier APK est malveillant n'est possible qu'après une analyse, qui dépasse les capacités d'un utilisateur non préparé.

Souvent, une application peut être déguisée en un programme inoffensif, mais contenir des fonctions cachées. Chaque mois nous publions des rapports viraux et parlons des menaces courantes ciblant les appareils mobiles. Malheureusement, les catalogues officiels des applications Android peuvent également contenir des logiciels publicitaires, des programmes indésirables voire malveillants. Rappelons les plus courants d'entre eux afin de comprendre en quoi ils peuvent menacer l'utilisateur.

Le plus souvent, des modules malveillants sont intégrés à différentes applications déguisées en éditeurs d'images, claviers à l'écran, utilitaires système, applications d'appel, programmes de remplacement de l'image d'arrière-plan de l'écran d'accueil, etc. L'une des menaces récentes les plus répandues est la famille de chevaux de Troie détectée par les produits Dr.Web comme Android.HiddenAds. Ces logiciels malveillants sont souvent distribués sous le couvert de programmes utiles ou de jeux téléchargeables sur Google Play. Ils sont conçus pour afficher des publicités. Et pour qu'il soit plus difficile pour les utilisateurs de les détecter, les chevaux de Troie masquent leurs icônes dans la liste des applications installées sur l'écran d'accueil ou les remplacent par des applications moins visibles.

Des familles plus dangereuses peuvent également être trouvées sur Google Play. Notamment, les chevaux de Troie Android.Joker, qui sont capables d'exécuter du code arbitraire, de voler des données du répertoire, d'intercepter des SMS et d'abonner automatiquement les utilisateurs à des services premium payants. Cette famille est également distribuée sous le couvert de programmes inoffensifs - collections d'images, éditeurs graphiques et autres utilitaires. Il existe de nombreuses autres familles de chevaux de Troie. Certains d'entre eux volent des mots de passe et d'autres informations personnelles, d'autres affichent des bannières publicitaires, interférant avec l'utilisation normale des appareils mobiles.

Il convient de noter que ces applications dangereuses peuvent contenir la fonctionnalité déclarée, tandis que les modules malveillants fonctionneront en secret. Cette situation est doublement dangereuse pour l'utilisateur, car le cheval de Troie peut " vivre " dans le système pendant longtemps, exécutant des fonctions destructrices. Par exemple, nos analystes ont trouvé des dizaines de jeux mobiles dans le catalogue officiel AppGallery qui contenaient un cheval de Troie Android.Cynos.7.origin. L'ampleur de la menace s'est avérée vraiment impressionnante, car au moment de la détection, les jeux « infectés » avaient été téléchargés par des millions d'utilisateurs. Lors de l'installation du jeu, le cheval de Troie demandait l'autorisation de gérer les appels téléphoniques, ce qui, malheureusement, ne dérangeait pas un si grand nombre de joueurs.

Dans une de nos publications du projet Lumières sur la sécurité, nous avons déjà parlé des autorisations pour les applications Android. Nous vous recommandons de relire ce document et de toujours surveiller attentivement l'activité des applications, même si elles sont téléchargées depuis des sources officielles.