Maj. le 28 février 2020 à 10 h 50 min

Une variante du malware bancaire Android Cerberus détourne les paramètres d’accessibilité pour voler les codes d’authentification double facteur à usage unique directement dans Google Authenticator. Les chercheurs de Threatfabric en concluent que la fonctionnalité vise à casser la sécurité 2FA des plateformes qui l’utilisent. Les chercheurs craignent sa propagation, qui remettrait en cause la sécurité d’une nouvelle modalité d’authentification double jusqu’ici considérée comme plus sécurisée que la réception de code OTP par SMS.

Facebook 2FA
L’écran de double authentification lors de la connexion à Facebook sur mac / Crédits : Phonandroid

Les chercheurs de Threatfabric rapportent la détection d’une nouvelle variante du malware bancaire Android baptisé Cerberus. Ce malware avait été détecté pour la première fois en juin 2019 sur des forums où ses services étaient proposés à la location. Ce malware était déjà capable, entre autres, de faire office de keylogger, de collecter et faire suivre les SMS, de collecter tout sur l’appareil, ses données, ses contacts enregistrés, la liste d’appels, utiliser votre smartphone pour passer des appels, contrôler le smartphone à distance (y compris installer des application) et diverses subroutines visant à protéger Cerberus et cacher ses activités malicieuses.

Les chercheurs avaient alors fait remarquer la construction modulaire du programme. Or, il semblerait justement que Cerberus soit en train de bénéficier d’un nouveau module particulièrement dangereux. Celui-ci vise à voler les codes d’authentification double facteurs générés par Google Authenticator. « Le cheval de Troie peut désormais aussi voler les codes 2FA générés par l’application Google Authenticator, en abusant les privilèges d’accessibilité. Lorsque l’application est lancée, le cheval de Troie peut obtenir le contenu de l’interface et le transmettre au serveur [des pirates, ndlr]. Une fois encore, on peut en déduire que cette fonctionnalisée sera utilisée pour contourner les services d’authentification qui dépendent de codes OTP », explique Threatfabric.

Pour l’heure, heureusement, son usage n’est pas très répandu. Threatfabric relève par ailleurs que les responsables de Cerberus ne font pas encore publicité de ce module sur leurs forums. Suggérant qu’ils sont en train de tester ce vecteur d’attaque. Cette nouvelle menace visant l’authentification double facteurs n’est néanmoins pas à prendre à la légère. L’authentification double facteurs est en effet recommandée pour hausser la sécurité de vos données. Néanmoins toutes les modalités d’authentification double facteurs ne se valent pas. L’authentification par code à usage unique (OTP) reçu par SMS était déjà considérée comme présentant des risques de piratage avec la technique du SIM Swap.

Lire également : Authentification double facteur – Microsoft affirme que c’est efficace à 99,9 % contre les pirates

La méthode consiste à se faire passer pour le propriétaire d’une ligne et demander à l’opérateur l’envoi d’un clone de la SIM sur lequel l’attaquant peut alors recevoir lesdits codes. Il est donc préférable de générer ces codes via une application ou une clé physiques : la génération de code via Google Authenticator est sans doute la méthode la plus populaire actuellement, de quoi inviter à la prudence.

Source : Android Authority



Réagissez à cet article !
Abonnez-vous gratuitement à la newsletter
Chaque semaine, le meilleur de Phonandroid dans votre boite mail !
Demandez nos derniers articles !
Ce malware Android vole les codes double facteur de Google Authenticator

Une variante du malware bancaire Android Cerberus détourne les paramètres d’accessibilité pour voler les codes d’authentification double facteur à usage unique directement dans Google Authenticator. Les chercheurs de Threatfabric en concluent que la fonctionnalité vise à casser la sécurité 2FA…

Android : ce malware ultra dangereux est impossible à supprimer !

Android est la cible d’un malware ultra dangereux baptisé Xiny, révèlent les chercheurs de Dr Web. En activité depuis 2015, ce trojan est presque impossible à supprimer des smartphones infectés. En 2016, les experts en cybersécurité de Dr Web ont repéré la trace…

Android : ce dangereux malware envoie des milliers de SMS à votre place

Android est à nouveau la cible d’un dangereux malware baptisé Faketoken. D’après les chercheurs de Kaspersky, il s’agit d’un Trojan bancaire capable d’envoyer des SMS à la place de ses victimes. Le logiciel malveillant serait ainsi parvenu à contaminer 5000 smartphones un peu partout dans…

Android : ces 30 applications selfies cachent un malware espion

Des malwares espions ont été découvert dans le code de 30 applications Android pour selfies disponibles sur le Google Play Store. D’après l’enquête des chercheurs de CyberNews, ces logiciels malveillants sont conçus pour collecter toutes les données de votre smartphone,…