le 17 avril 2014

Les spécialistes de Doctor Web ont détecté des envois de spam SMS contenant des liens vers le Trojan Android.SmsBot.75.origin, conçu pour voler des données confidentielles et pour envoyer des SMS, et ciblant les utilisateurs en Corée du Sud. Pendant plusieurs jours, les malfaiteurs ont effectué environ 40 envois de spam. Plusieurs dizaines de milliers de personnes pourraient être touchées.

Ces messages alertent l’utilisateur sur un colis expédié par la poste et non reçu. Pour connaître le statut de ce colis, la victime doit cliquer sur un lien dans le message. En cliquant dessus, l'utilisateur est redirigé vers un blog frauduleux, créé via le service Blogger de Google, et qui ressemble beaucoup au site du service courrier de la poste. Lorsque l'utilisateur consulte cette information, le Trojan Android.SmsBot.75.origin, placé dans Dropbox, sur lequel les malfaiteurs possèdent un compte spécial, est téléchargé sur l'appareil de la victime.

Cette « campagne » ne diffère pas beaucoup des autres opérations de ce type organisées en Corée du Sud, mais son ampleur est plus importante. Les malfaiteurs ont en effet réussi environ 40 attaques spam et ont utilisé 5 variantes de blog contenant des liens vers trois modifications du Android.SmsBot.75.origin.

D’après les statistiques récoltées, le nombre de visiteurs d’un de ces blog a atteint plus de 30 000. Compte tenu du nombre total de blogs frauduleux utilisés par les malfaiteurs, le nombre de victimes peut dépasser plusieurs fois ce chiffre.

Pour ne pas causer de soupçons après son lancement, Android.SmsBot.75.origin ouvre la page d’un site d’une société de logistique postale en mode WebView, c'est à dire l'affiche comme une application web. En même temps, il supprime son icône de l'écran principal de l'appareil mobile et lance le service MainService, qui exécute l'activité malveillante. le Trojan envoie notamment les contacts du mobile à un serveur distant puis attend la commande contenant le numéro et le texte pour envoyer des SMS. De plus, le logiciel malveillant peut masquer à l'utilisateur la réception d’appels ou de SMS. Ainsi, Android.SmsBot.75.origin peut être utilisé comme un espion ou un Trojan SMS ou à d’autres fins.

Outre la campagne mentionnée, le Trojan Android.SmsBot.75.origin a déjà été distribué sous couvert de notifications sensées provenir de la police. Les analystes supposent donc que les malfaiteurs inventeront d’autres moyens de distribution de ce Trojan.

Dr.Web pour Android détecte toutes les modifications de ce bot.