le 26 avril 2018

Les analystes de Doctor Web ont détecté sur Google Play des applications embarquant le Trojan Android.RemoteCode.152.origin et qui ont été téléchargées au total plus de 6 500 000 de fois. Ce programme malveillant télécharge discrètement et lance des modules supplémentaires, parmi lesquels des plugins de publicité. Le Trojan utilise ces plugins pour télécharger des publicités invisibles, et il clique dessus afin que les pirates perçoivent une rémunération.

Android.RemoteCode.152.origin est une nouvelle version du Trojan Android.RemoteCode.106.origin connu depuis 2017, Doctor Web en a déjà parlé dans une publication au mois de novembre l'année dernière. Ce programme malveillant est un module que les éditeurs de logiciels intégraient à ces applis et diffusaient via Google Play. La fonction principale d'Android.RemoteCode.106.origin consiste à télécharger discrètement et à lancer des plugins additionnels conçus pour télécharger des pages web publicitaires et pour cliquer sur les bannières placées sur les pages en question. La nouvelle version du Trojan effectue des actions similaires.

Après le lancement de l'application contenant le Trojan, Android.RemoteCode.152.origin commence à fonctionner automatiquement avec des intervalles réguliers, et il démarre après chaque démarrage de l'appareil. Ainsi, pour son fonctionnement, le malware ne nécessite pas que le propriétaire de l'appareil mobile utilise l'application contaminée constamment.

A son démarrage, le malware télécharge sur son serveur de contrôle et lance l'un des modules du Trojan qui a été ajouté à la base virale Dr.Web comme Android.Click.249.origin. A son tour, ce composant télécharge et lance un autre module basé sur la plateforme publicitaire MobFoc SDK. La plateforme est destinée à monétiser des applications. En utilisant cette plateforme, le Trojan crée des annonces et bannières publicitaires de manière invisible puis il clique dessus pour générer des revenus au clic. Android.RemoteCode.152.origin supporte le réseau marketing mobile AppLovin, via lequel il télécharge des annonces publicitaures.

Les analystes de Doctor Web ont détecté plusieurs applications sur Google Play qui contiennent ce Trojan. Ce sont toutes des jeux dont le nombre de téléchargements a déjà dépassé les 6 500 000. Doctor Web a transmis à Google des informations sur les programmes détectés, à l'heure de cette publication, une partie des applis a été retirée du catalogue. Certaines applications ont reçu des mises à jours dans lesquelles le module malveillant est absent.

Android.RemoteCode.152.origin a été détecté dans les programmes suivants:

• Beauty Salon - Dress Up Game, en version 5.0.8;
• Fashion Story - Dress Up Game, en version 5.0.0;
• Princess Salon - Dress Up Sophie, en version 5.0.1;
• Horror game - Scary movie quest, en version 1.9;
• Escape from the terrible dead, en version 1.9.15;
• Home Rat simulator, en version 2.0.5;
• Street Fashion Girls - Dress Up Game, en version 6.07;
• Unicorn Coloring Book, en version 134.

De plus, lors d’une analyse ultérieure, les experts de Doctor Web ont découvert le Trojan dans quelques applications retirées précédemment du catalogue:

• Subwater Subnautica, en version 1.7;
• Quiet, Death!, en version 1.1;
• Simulator Survival, en version 0.7;
• Five Nigts Survive at Freddy Pizzeria Simulator, en version 12;
• Hello Evil Neighbor 3D, en version 2.24;
• The Spire for Slay, en version 1.0;
• Jumping Beasts of Gang, en version 1.9;
• Deep Survival, en version 1.12;
• Lost in the Forest, en version 1.7;
• Happy Neighbor Wheels, en version 1.41;
• Subwater Survival Simulator, en version 1.15;
• Animal Beasts, en version 1.20.

Les illustrations ci-dessous montrent des exemples d’applis embarquant le Trojan Android.RemoteCode.152.origin:

Pour réduire les risques de contamination des mobiles avec des logiciels malveillants, les experts de Doctor Web recommandent d’installer uniquement des applications provenant de développeurs connus et de confiance. Les produits antivirus Dr.Web pour Android détectent et éradiquent toutes les modifications connues des Trojans décrits ci-dessus qui ne représentent aucun danger pour nos utilisateurs.

Plus d'infos sur Android.RemoteCode.152.origin

#Android, #Google_Play, #logiciels publicitaires, #Trojan