Ce malware Android vole les codes double facteur de Google Authenticator

 

Une variante du malware bancaire Android Cerberus détourne les paramètres d'accessibilité pour voler les codes d'authentification double facteur à usage unique directement dans Google Authenticator. Les chercheurs de Threatfabric en concluent que la fonctionnalité vise à casser la sécurité 2FA des plateformes qui l'utilisent. Les chercheurs craignent sa propagation, qui remettrait en cause la sécurité d'une nouvelle modalité d'authentification double jusqu'ici considérée comme plus sécurisée que la réception de code OTP par SMS.

Facebook 2FA
L'écran de double authentification lors de la connexion à Facebook sur mac / Crédits : Phonandroid

Les chercheurs de Threatfabric rapportent la détection d'une nouvelle variante du malware bancaire Android baptisé Cerberus. Ce malware avait été détecté pour la première fois en juin 2019 sur des forums où ses services étaient proposés à la location. Ce malware était déjà capable, entre autres, de faire office de keylogger, de collecter et faire suivre les SMS, de collecter tout sur l'appareil, ses données, ses contacts enregistrés, la liste d'appels, utiliser votre smartphone pour passer des appels, contrôler le smartphone à distance (y compris installer des application) et diverses subroutines visant à protéger Cerberus et cacher ses activités malicieuses.

Les chercheurs avaient alors fait remarquer la construction modulaire du programme. Or, il semblerait justement que Cerberus soit en train de bénéficier d'un nouveau module particulièrement dangereux. Celui-ci vise à voler les codes d'authentification double facteurs générés par Google Authenticator. “Le cheval de Troie peut désormais aussi voler les codes 2FA générés par l'application Google Authenticator, en abusant les privilèges d'accessibilité. Lorsque l'application est lancée, le cheval de Troie peut obtenir le contenu de l'interface et le transmettre au serveur [des pirates, ndlr]. Une fois encore, on peut en déduire que cette fonctionnalisée sera utilisée pour contourner les services d'authentification qui dépendent de codes OTP”, explique Threatfabric.

Pour l'heure, heureusement, son usage n'est pas très répandu. Threatfabric relève par ailleurs que les responsables de Cerberus ne font pas encore publicité de ce module sur leurs forums. Suggérant qu'ils sont en train de tester ce vecteur d'attaque. Cette nouvelle menace visant l'authentification double facteurs n'est néanmoins pas à prendre à la légère. L'authentification double facteurs est en effet recommandée pour hausser la sécurité de vos données. Néanmoins toutes les modalités d'authentification double facteurs ne se valent pas. L'authentification par code à usage unique (OTP) reçu par SMS était déjà considérée comme présentant des risques de piratage avec la technique du SIM Swap.

Lire également : Authentification double facteur – Microsoft affirme que c'est efficace à 99,9 % contre les pirates

La méthode consiste à se faire passer pour le propriétaire d'une ligne et demander à l'opérateur l'envoi d'un clone de la SIM sur lequel l'attaquant peut alors recevoir lesdits codes. Il est donc préférable de générer ces codes via une application ou une clé physiques : la génération de code via Google Authenticator est sans doute la méthode la plus populaire actuellement, de quoi inviter à la prudence.

Source : Android Authority



Abonnez-vous gratuitement à la newsletter
Chaque jour, le meilleur de Phonandroid dans votre boite mail !
Réagissez à cet article !
Demandez nos derniers articles !
tiktok avast adware jeune fille
Android, iOS : Avast découvre 7 nouveaux malwares grâce à une fillette

Sept applications malveillantes ont été repérées sur le Google Play Store et sur l’App Store. Téléchargées plus de 2,4 millions de fois, elles  bombardent l’utilisateur de publicités et le facturent avec des achats in-app inutiles. Fait incroyable, les chercheurs d’Avast…

android failles google corrige septembre
Android : Google corrige 52 failles de sécurité en septembre 2020

Android souffre d’un total de 52 failles de sécurité, annonce Google dans son traditionnel bulletin mensuel. Bien décidé à protéger les utilisateurs contre les malwares et les pirates, le géant américain a lancé le déploiement d’un patch correctif sur tous…