Découvrez le logiciel malveillant révolutionnaire qui vole vos identifiants d’images sur Android !

Deux nouvelles familles de logiciels malveillants Android ont récemment été découvertes sur Google Play. Surnommées « CherryBlos » et « FakeTrade », ces applications ont pour objectif de voler des informations d’identification et des fonds en crypto-monnaies, ainsi que d’organiser des escroqueries. Ces découvertes ont été faites par Trend Micro, qui a remarqué que les deux familles de logiciels malveillants utilisaient la même infrastructure réseau et les mêmes certificats, suggérant qu’ils ont été créés par les mêmes acteurs de la menace.

Les applications malveillantes sont distribuées via différents canaux, notamment les réseaux sociaux, les sites de phishing et les achats in-app sur Google Play, la boutique officielle d’applications Android.

Logiciel malveillant CherryBlos

Le logiciel malveillant CherryBlos a été initialement distribué en avril 2023 sous la forme d’un fichier APK promu sur des plateformes telles que Telegram, Twitter et YouTube. Ces fichiers APK se font passer pour des outils d’intelligence artificielle ou des mineurs de monnaie. Les noms utilisés pour ces APK malveillants sont les suivants : GPTalk, Mineur Heureux, Robot999 et SynthNet. Ils sont téléchargés à partir de sites web tels que chatgptc[.]io, happyminer[.]com, robot999[.]net et synthnet[.]ai.

Une version malveillante de l’application Synthnet a également été téléchargée sur Google Play, où elle a été téléchargée environ un millier de fois avant d’être signalée et supprimée.

CherryBlos est un logiciel malveillant qui vole des informations d’identification et des actifs en crypto-monnaie en utilisant différentes tactiques. Il abuse des permissions du service d’accessibilité pour obtenir deux fichiers de configuration du serveur C2, approuver automatiquement des permissions supplémentaires et empêcher l’utilisateur de supprimer l’application trojanisée. De plus, CherryBlos utilise des interfaces utilisateur trompeuses qui imitent les applications officielles pour voler des informations d’identification. Une fonctionnalité intéressante de ce logiciel malveillant est sa capacité à effectuer une reconnaissance optique de caractères (ROC) sur des images stockées sur l’appareil, ce qui lui permet de voler des phrases de récupération de portefeuilles de crypto-monnaies.

CherryBlos agit également comme un détourneur de presse-papiers pour l’application Binance. Il modifie automatiquement l’adresse d’un crypto-token par une adresse contrôlée par l’attaquant, tandis que l’adresse d’origine reste inchangée pour l’utilisateur. Cela permet aux acteurs de la menace de rediriger les paiements vers leurs propres portefeuilles, volant ainsi les fonds transférés.

Campagne FakeTrade

Les analystes de Trend Micro ont également découvert une campagne appelée « FakeTrade » sur Google Play. Cette campagne comprend 31 applications frauduleuses qui utilisent les mêmes infrastructures de réseau C2 et les mêmes certificats que les applications CherryBlos.

Ces applications utilisent des thèmes d’achat ou des appâts financiers pour inciter les utilisateurs à regarder des publicités, à accepter des abonnements premium ou à remplir leurs portefeuilles in-app. Cependant, elles ne permettent jamais aux utilisateurs de retirer les récompenses virtuelles. Ces applications ciblent principalement les utilisateurs de Malaisie, du Viêt Nam, d’Indonésie, des Philippines, d’Ouganda et du Mexique.

Google a réagi rapidement en retirant les applications malveillantes de Google Play. Cependant, étant donné que de nombreux utilisateurs les ont déjà téléchargées, il est possible que des nettoyages manuels soient nécessaires sur les appareils infectés.

Il est essentiel de rester vigilant lors du téléchargement d’applications sur Google Play et de vérifier leur provenance et les avis des utilisateurs avant de les installer. De plus, il est recommandé de ne pas prendre de photos de phrases de récupération de portefeuilles de crypto-monnaies, car des logiciels malveillants comme CherryBlos peuvent reconnaître ces images et voler les fonds associés.

La sécurité des utilisateurs est une priorité pour Google, qui prend des mesures pour protéger les utilisateurs contre les logiciels malveillants sur Google Play. Cependant, il est important que les utilisateurs restent informés et prennent des mesures pour protéger leurs appareils et leurs informations personnelles.

Source de notre information