Clubhouse : attention à ce lien d’invitation pour Android, c’est un Trojan !

Un lien d’invitation frauduleux pour Clubhouse circule en ce moment sur les réseaux sociaux. Celui-ci propose de télécharger l’application sur Android, alors qu’aucune version officielle n’est disponible à l’heure actuelle. En cliquant sur le bouton de téléchargement, la victime installe un Trojan sur son smartphone.

Lancé en avril 2020, Clubhouse est l’un des réseaux sociaux les plus populaires du moment, au point de provoquer la jalousie de Facebook. Quelques mois après sa mise en service, l’application est déjà valorisée à un milliard de dollars. Forcément, ce succès grandiloquent attire les esprits malveillants. Des pirates profitent en effet du système d’invitation pour rejoindre la plateforme pour diffuser un Trojan à grande échelle. Pour ce faire, ils font croire à une version Android de l’application, alors que celle-ci n’existe pour l’heure que sur iOS et pour le web.

Le malware, baptisé « BlackRock » et découvert par le chercheur en sécurité Lukas Stefanko, se télécharge sur une page imitant l’apparence du site officiel. « Le site ressemble parfaitement à l’original », explique Lukas Stefanko. « Cependant, lorsque l’utilisateur clique sur “Télécharger sur Google Play”, l’application sera automatique téléchargée sur son appareil. Normalement, les sites légitimes redirigent toujours vers Google Play, au lieu de télécharger directement l’APK ».

Le Trojan Clubhouse vole toutes les données personnelles de la victime

BlackRock ne fait pas les choses à moitié. Une fois installé, il est capable de subtiliser les identifiants de 458 plateformes en ligne. On y retrouve notamment des applications comprenant des informations de paiement, mais aussi des messageries et des réseaux sociaux. Facebook, Twitter, WhatsApp, Amazon, Netflix, Outlook ont encore eBay font partie de la liste des plateformes visées.

Le malware fonctionne en lançant une attaque overlay, c’est-à-dire qu’il crée une « surcouche » de l’application que l’utilisateur souhaite ouvrir pour récupérer ses données personnelles. Malheureusement, le système de double-authentification est impuissant face à ce type d’attaque, puisque BlackRock intercepte les SMS envoyés. Pire encore, il demande de modifier les paramètres d’accessibilité pour gagner un contrôle total du smartphone.

Sur le même sujet : Facebook Messenger — un malware se propage sur la messagerie, ne cliquez pas sur ce lien !

Néanmoins, comme toute tentative frauduleuse reposant sur une fausse page web, il est relativement simple de repérer la combine avant de commettre l’irréparable. En effet, le site utilise le nom de domaine .mobi au lieu de .com, tandis le fichier télécharger s’intitule « Installer » à la place de « Clubhouse ». Dans tous les cas, il est inutile de chercher à se procurer une version Android de l’application avant son déploiement officiel par les développeurs. Comme toujours, la prudence est de mise.

Source : ESET