Les pirates ont usurpé l’application Telegram pour distribuer des logiciels espions
Les logiciels malveillants peuvent désactiver les notifications des systèmes de sécurité intégrés aux appareils.
En commençant par un logiciel malveillant peu connu, les chercheurs en sécurité d’ ESET ont découvert de nouveaux logiciels espions Android distribués via de fausses applications de messagerie telles que Threema, Telegram et WeMessage.
Le logiciel malveillant provient d’ APT-C-23, un groupe de pirates informatiques expérimentés qui mènent des campagnes d’espionnage contre des établissements militaires et éducatifs depuis juillet 2015.
La version mise à jour, découverte plus tôt cette année, présente une gamme impressionnante de nouvelles fonctionnalités qui, entre autres, permettent aux logiciels espions de rejeter les notifications des systèmes de sécurité fonctionnant sur les appareils Samsung, Xiaomi et Huawei et ainsi de pouvoir fonctionner sans être détectés.
Se cacher dans de fausses applications
En avril 2020, les chercheurs en sécurité de MalwareHunterTeam ont tweeté que les logiciels espions Android avaient un taux de détection très faible sur VirusTotal. Après avoir examiné l’échantillon, les chercheurs d’ ESET ont découvert qu’il faisait partie d’une suite de logiciels malveillants utilisée par les attaquants APT-C-23.
Environ deux mois plus tard, en juin, la MalwareHunterTeam a découvert un nouvel échantillon du même logiciel malveillant caché dans le fichier d’installation de Telegram Messenger disponible sur DigitalApps, une boutique d’applications Android non officielle.
Étant donné que leur solution de sécurité était l’une des rares à avoir réussi à détecter le nouveau logiciel espion d’APT-C-23 dans le domaine public, ESET a lancé une enquête et il s’est avéré que le logiciel malveillant était également caché dans d’autres applications du magasin susmentionné.
Ils l’ont également trouvé sur Threema, une plateforme de messagerie sécurisée, et AndroidUpdate, une application qui est une mise à jour du système pour la plateforme mobile.
Avec l’aide de Threema et Telegram, la victime obtiendra toutes les fonctionnalités de ces applications ainsi que des logiciels malveillants, cachant ainsi la nature malveillante des fausses applications.
Peut-être pour tenter de contrôler la propagation des logiciels malveillants, les attaquants ont ajouté une fausse passerelle de téléchargement, nécessitant un code à six chiffres.
ESET pense que le magasin DigitalApps n’est qu’une des méthodes de distribution utilisées par les attaquants pour infecter les victimes, car ils ont trouvé d’autres applications qui n’étaient pas disponibles dans le magasin mais contenaient le même logiciel espion.
« En juin 2020, les systèmes ESET ont bloqué ce logiciel espion sur les appareils clients en Israël. Les échantillons de logiciels malveillants détectés ont été déguisés en application de messagerie WeMessage, selon ESET
Cependant, l’interface graphique de l’application malveillante diffère de l’original et semble avoir été créée par un attaquant, ce qui indique qu’il n’a pas tenté de se faire passer pour un produit réel.
Ensemble de fonctionnalités amélioré
Les APT-C-23 sont connus sous différents noms (Big Bang APT, Two-tailed Scorpion) par d’autres sociétés de cybersécurité. Le groupe déploie des logiciels malveillants pour les plates-formes Windows (KasperAgent, Micropsia) et Android (GnatSpy, Vamp, FrozenCell), ciblant des cibles au Moyen-Orient.
Par rapport aux logiciels espions Android précédents, la dernière version d’APT-C-23 étend les fonctionnalités au-delà des capacités déjà présentes d’enregistrement audio, de vol de journaux d’appels, de SMS, de contacts et de certains types de fichiers (PDF, DOC, DOCX, PPT, PPTX, XLS, XLSX, TXT, JPG, JPEG, PNG).
La liste des fonctionnalités inclut désormais la possibilité de désactiver les notifications des applications de sécurité intégrées aux appareils de Samsung, Xiaomi et Huawei, permettant aux logiciels malveillants de rester cachés même si leur activité est détectée.
De plus, le logiciel peut désormais lire les notifications des applications de messagerie (WhatsApp, Facebook, Telegram, Instagram, Skype, Messenger, Viber), volant efficacement les messages entrants et les codes d’accès au compte.
Les logiciels espions peuvent également enregistrer l’écran (vidéo et image) ainsi que les appels entrants et sortants via WhatsApp. Il peut également passer secrètement des appels en créant un écran noir qui imite un téléphone inactif.
ESET a publié un rapport technique détaillant les nouvelles fonctionnalités du logiciel espion amélioré APT-C-23, qui contient des indicateurs utiles pour vous aider à reconnaître un appareil compromis.