Ce malware sur Android utilise un protocole créé par Google pour vider votre compte pendant votre sommeil

La division Mobile Application Reputation Service (MARS) de Trend Micro a mis au jour un nouveau type de malware qui se propage à travers des applications mobiles téléchargées sur de faux app stores pour Android.

hacker-finance-écrans
Crédit : 123rf

Selon Trend Micro, les pirates étrennent un nouveau type d'attaques sur les smartphones Android depuis juin 2023. Le malware permettrait aux cybercriminels de recueillir les identifiants bancaires et les informations personnelles contenues dans les smartphones infectés, et de vider le compte bancaire, voire d’usurper l’identité des victimes. Les chercheurs l’ont appelé MMRAT. MM, pour le nom du répertoire dans lequel réside l’application frauduleuse, et RAT pour Remote Access Trojan, un type de malware qui permet d’accéder à un appareil à distance, et de le contrôler.

À lire — Netflix, TikTok, YouTube : ces pirates ont caché un malware dans 60 000 fausses apps sur Android

D'après les analystes, MMRAT « peut capturer les données de l’utilisateur et le contenu de l’écran, et peut également contrôler l'appareil de la victime à distance à travers diverses techniques, ce qui permet à ses opérateurs d’effectuer des fraudes bancaires sur l’appareil de la victime ». En principe, cette technique n’a rien de nouveau. C’est le protocole de communication utilisé par les hackers qui étonne les chercheurs.

Ce malware vole les informations contenues dans les smartphones avec un protocole créé par Google

Les pirates utilisent Protobuf (pour Protocole buffers), un langage de sérialisation open source créé par Google, qui permet de transférer rapidement de gros volumes de données. MMRAT est si furtif, donc dangereux, qu'il n’a pas encore été détecté sur VirusTotal. Cela dit, les hackers ne semblent, pour l'heure, viser que des utilisateurs basés au Vietnam et en Thaïlande.

Les victimes téléchargent le plus souvent MMRAT sur un site de phishing, pensant qu'il s'agit d'une application légitime. L'attaque se déroule ensuite de la sorte :

Voir les commentaires
Ailleurs sur le web