Le 16 janvier 2018

Les analystes de Doctor Web ont détecté plusieurs jeux Android embarquant le Trojan Android.RemoteCode.127.origin proposés sur Google Play. Ce Trojan télécharge et lance des modules qui effectuent différentes fonctions malveillantes. Ils simulent notamment des actions utilisateur, en ouvrant de manière invisible des sites web et en cliquant sur leurs éléments.

Android.RemoteCode.127.origin fait partie de la plateforme (SDK, Software Development Kit) nommée 呀呀云 (« Ya Ya Yun ») et utilisée par les développeurs pour élargir les fonctionnalités de leurs applications. Il permet entre autres aux joueurs de maintenir une communication entre eux. Cependant, en parallèle des fonctionnalités déclarées, la plateforme permet de télécharger discrètement des modules malveillants sur un serveur distant.

Au lancement des programmes dans lesquels ce SDK est intégré, Android.RemoteCode.127.origin envoie une requête au serveur de contrôle. En réponse, il peut recevoir une commande pour télécharger ou exécuter des modules malveillants capables d'effectuer différentes actions. Un de ces modules, intercepté et examiné par les analystes de Doctor Web a reçu le nom Android.RemoteCode.126.origin. Après son démarrage, il se connecte au serveur de contrôle et reçoit un lien de téléchargement d'une image pouvant à première vue passer pour une image ordinaire et inoffensive.

En fait, ce fichier graphique cache un autre cheval de Troie, où plutôt un module représentant une version actualisée d'Android.RemoteCode.126.origin. Cette méthode de masquage des objets malveillants dans des images est déjà connue des analystes. Elle a notamment été appliqué dans le Trojan Android.Xiny.19.origin détecté en 2016.

Après le déchiffrement et le lancement, la nouvelle version du module (qui est détectée par Dr.Web comme Android.RemoteCode.125.origin) commence à fonctionner simultanément avec la version ancienne, en doublant ses fonctionnalités. Puis ce module télécharge une autre image, derrière laquelle un composant malveillant est dissimulé. Il a reçu le nom Android.Click.221.origin .

Sa tâche principale est d'ouvrir discrètement des sites web et de cliquer sur les éléments placés sur ces sites, notamment sur des bannières et des liens. Pour ce faire, Android.Click.221.origin télécharge depuis l’adresse indiquée par le serveur de contrôle un script auquel il permet d'effectuer des actions sur une page visitée, y compris une imitation des clics sur les éléments spécifiés dans le script en question. Cette fonctionnalité permet aux pirates de générer des profits. Cependant, les fonctionnalités d'Android.RemoteCode.127.origin ne se limitent pas à cela, car ses auteurs sont capables de créer d'autres modules qui pourront exécuter d'autres actions malveillantes. Par exemple, ils sont en mesure d'afficher des fenêtres de phishing leur permettant de voler des identifiants, d'afficher des publicités ainsi que de télécharger discrètement et d'installer des applications.

Les analystes de Doctor Web ont détecté sur Google Play 27 jeux dans lesquels ce SDK de Trojan a été utilisé. Au total, ces jeux ont été téléchargés par plus de 4 500 000 propriétaires d’appareils mobiles. Une liste des applications embarquant Android.RemoteCode.127.origin est présentée dans le tableau ci-dessous :

Les analystes ont signalé à Google la présence de ce composant malveillant dans les applications mentionnées mais au moment de la publication de cet article, les applis restaient disponibles en téléchargement. Nous recommandons aux propriétaires de Smartphones et tablettes qui ont déjà installé des jeux contenant le Trojan Android.RemoteCode.127.origin de les supprimer. Les produits antivirus Dr.Web pour Android détectent avec succès les programmes contenant Android.RemoteCode.127.origin, ce Trojan ne représente donc aucun danger pour nos utilisateurs.

Plus d'infos sur ce Trojan