Ce malware sur Android utilise un protocole créé par Google pour vider votre compte pendant votre sommeil
La division Mobile Application Reputation Service (MARS) de Trend Micro a mis au jour un nouveau type de malware qui se propage à travers des applications mobiles téléchargées sur de faux app stores pour Android.
Selon Trend Micro, les pirates étrennent un nouveau type d'attaques sur les smartphones Android depuis juin 2023. Le malware permettrait aux cybercriminels de recueillir les identifiants bancaires et les informations personnelles contenues dans les smartphones infectés, et de vider le compte bancaire, voire d’usurper l’identité des victimes. Les chercheurs l’ont appelé MMRAT. MM, pour le nom du répertoire dans lequel réside l’application frauduleuse, et RAT pour Remote Access Trojan, un type de malware qui permet d’accéder à un appareil à distance, et de le contrôler.
À lire — Netflix, TikTok, YouTube : ces pirates ont caché un malware dans 60 000 fausses apps sur Android
D'après les analystes, MMRAT « peut capturer les données de l’utilisateur et le contenu de l’écran, et peut également contrôler l'appareil de la victime à distance à travers diverses techniques, ce qui permet à ses opérateurs d’effectuer des fraudes bancaires sur l’appareil de la victime ». En principe, cette technique n’a rien de nouveau. C’est le protocole de communication utilisé par les hackers qui étonne les chercheurs.
Ce malware vole les informations contenues dans les smartphones avec un protocole créé par Google
Les pirates utilisent Protobuf (pour Protocole buffers), un langage de sérialisation open source créé par Google, qui permet de transférer rapidement de gros volumes de données. MMRAT est si furtif, donc dangereux, qu'il n’a pas encore été détecté sur VirusTotal. Cela dit, les hackers ne semblent, pour l'heure, viser que des utilisateurs basés au Vietnam et en Thaïlande.
Les victimes téléchargent le plus souvent MMRAT sur un site de phishing, pensant qu'il s'agit d'une application légitime. L'attaque se déroule ensuite de la sorte :
- elles accordent les autorisations nécessaires
- MMRAT envoie des informations sur l’appareil, des données personnelles et les textes saisis sur l’appareil à un serveur distant
- quand le smartphone est inutilisé (la victime dort, par exemple), le pirate l’allume à distance, le déverrouille et vide les comptes de la victime
- le malware se désinstalle, et supprime toute trace de son passage sur le système
