le 23 octobre 2018

Dans une news publiée précédemment, Doctor Web a alerté de la diffusion du Trojan Downloader Android.DownLoader.818.origin étant propagé sous couvert d'un client VPN permettant de se connecter aux réseaux privés virtuels. Les analystes ont continué leurs recherches et ont révélé l’existence d’une modification de cette application malveillante qui a reçu le nom Android.DownLoader.819.origin. Tout comme le Trojan original, cette modification s'est propagée via Google Play. Au total, l'application malveillante a été téléchargée par au moins 51 100 utilisateurs.

Android DownLoader.819.origin télécharge sur les appareils Android d'autres programmes malveillants et les exécute. Le Trojan est propagé au nom du développeur Quoac sous le couvert de différents jeux. Les analystes de Doctor Web ont détecté 14 copies d'Android.DownLoader.819.origin qui ont été téléchargées par au moins 51 100 propriétaires d'appareils Android. Les analystes ont transmis les informations sur les malwares détectés à la société Google et au moment de notre publication les programmes malveillants ont été retirés de Google Play.

Des données sur les applications malveillantes détectées sont présentées dans le tableau récapitulatif ci-dessous :

Android DownLoader.819.origin est une modification du Trojan Android.DownLoader.818.origin et est doté des mêmes fonctionnalités. A son lancement, il tente d'accéder à la lecture et l'écriture des fichier sur la carte SD, il demande également une autorisation pour s'ajouter à la liste des administrateurs de l'appareil mobile. En cas de réussite, le cheval de Troie supprime sa propre icône dans le menu de l’écran principal de l’appareil et masque sa présence sur le périphérique. A partir de ce moment, il devient impossible de lancer " le jeu " et l'application même peut être retrouvée uniquement dans la liste des programmes installés dans les paramètres système.

Après avoir obtenu les privilèges demandés, le Trojan se connecte à un serveur distant sur lequel il télécharge discrètement un fichier apk, puis il propose au propriétaire de l'appareil d'installer ce fichier. Si l'utilisateur refuse, le malware tente de nouveau de poursuivre l'installation et affiche toutes les 20 secondes la même boîte de dialogue jusqu'à ce que l'utilisateur cède et accepte de installer l'appli téléchargée. Le fichier téléchargé et installé par le Trojan est le programme malveillant Android.HiddenAds.728 qui affiche de la publicité lorsque vous allumez l’écran du Smartphone ou de la tablette infectés.

Les produits antivirus Dr.Web pour Android détectent et suppriment toutes les modifications connues du Trojan Downloader Android.DownLoader.819.origin ainsi que les applications malveillante qu'il télécharge, c'est pourquoi ces malwares ne représentent aucun danger pour les utilisateurs Dr.Web.

• En savoir plus sur Android.DownLoader.819.origin
• En savoir plus sur Android.HiddenAds.728