Doctor Web présente son Rapport viral sur les menaces ayant ciblé les appareils mobiles au cours du mois de novembre 2023

Selon les statistiques de détection de Dr.Web pour les appareils mobiles Android, en novembre 2023, les utilisateurs ont rencontré moins souvent les chevaux de Troie publicitaires Android.HiddenAds et Android.MobiDash. L'activité des premiers a diminué d'un quart (25,03%), celle des seconds — de plus d'un tiers (35,87%). De plus, les chevaux de Troie bancaires et les programmes malveillants espions ont été moins souvent détectés sur les appareils protégés (respectivement de 3,53 % et de 17,10 %)

Dans le même temps, les attaquants ont de nouveau distribué des programmes malveillants via le catalogue Google Play. Nos experts ont identifié plus de deux douzaines de chevaux de Troie de la famille Android.FakeApp utilisés à des fins frauduleuses, ainsi qu'un autre cheval de Troie qui abonne les propriétaires d'appareils Android à des services payants sur Google Play.

Selon les données fournies par les produits antivirus Dr.Web pour Android

Android.HiddenAds.3831

Android.HiddenAds.3697

Trojans conçus pour afficher des publicités. Les représentants de cette famille sont diffusés sous couvert d'applications inoffensives et, dans certains cas, sont installés dans le répertoire système par d'autres malwares. Une fois sur les appareils Android, ces chevaux de Troie publicitaires masquent généralement leur présence dans le système, notamment, ils « masquent » l'icône de l'application dans le menu de l'écran d'accueil.

Android.MobiDash.7805

Trojan qui affiche des publicités intempestives. C'est un module que des développeurs de logiciels intègrent à des applications.

Android.Spy.5106

Trojans représentant des versions modifiées de versions non officielles de l'application WhatsApp. Ce programme peut voler le contenu des notifications, proposer d'installer des programmes provenant de sources inconnues et, lors de l'utilisation de la messagerie, afficher des boîtes de dialogue avec un contenu personnalisable à distance.

Android.Spy.5864

À l'aide de cette entrée dans la base de données virales, Dr.Web détecte un cheval de Troie qui se cache dans un certain nombre de modifications tierces de la messagerie WhatsApp. Les attaquants utilisent ce logiciel malveillant pour espionner les utilisateurs. Par exemple, ils peuvent rechercher des fichiers sur les appareils des victimes et les télécharger sur un serveur distant, collecter des données à partir de l'annuaire téléphonique, obtenir des informations sur l'appareil infecté, effectuer un enregistrement audio de l'environnement à des fins d'écoute, etc.

Program.CloudInject.1

Applications Android modifiées à l'aide du service CloudInject et de l'utilitaire Android du même nom (ajouté à la base de données de virus Dr.Web sous le nom de Tool.CloudInject). Ces programmes sont modifiés sur un serveur distant, tandis que l'utilisateur (moddeur) intéressé à les changer ne contrôle pas ce qui y sera intégré. De plus, les applications reçoivent un ensemble d'autorisations dangereuses. Après la modification, l'utilisateur qui fait du modding (moddeur) reçoit une possibilité de contrôler à distance ces programmes — les bloquer, afficher des boîtes de dialogue personnalisées, suivre le fait d'installation et de désinstaller d'autres logiciels, etc.

Program.FakeAntiVirus.1

Programmes publicitaires imitant le fonctionnement des logiciels antivirus. Ces programmes peuvent signaler des menaces inexistantes et tromper les utilisateurs en demandant de payer une version complète.

Program.wSpy.3.origin

Logiciel espion commercial conçu pour surveiller secrètement les propriétaires d'appareils Android. Il permet aux pirates de lire la correspondance de l'utilisateur (messages dans les messageries instantanées populaires et SMS), d'écouter l'environnement, de suivre l'emplacement de l'appareil, de suivre l'historique du navigateur Web, d'accéder au répertoire téléphonique et aux contacts, aux photos et aux vidéos, de prendre des captures d'écran et des photos via l'appareil photo, et dispose également d'une fonction d'enregistreur de frappe.

Program.FakeMoney.7

Applications qui permettent prétendument de gagner de l'argent en effectuant certaines actions ou tâches. Elles imitent l'accumulation de récompenses, alors que pour retirer l'argent « gagné », il est nécessaire d'accumuler un certain montant. Même lorsque les utilisateurs réussissent, ils ne reçoivent rien.

Program.TrackView.1.origin

Application qui permet de surveiller les utilisateurs via des appareils Android. Avec ce programme, les attaquants peuvent déterminer l'emplacement des appareils ciblés, utiliser la caméra pour enregistrer des vidéos et créer des photos, écouter via le microphone, créer des enregistrements audio, etc.

Tool.NPMod.1

Détection des applications Android modifiées à l'aide de l'utilitaire NP Manager. Ces programmes sont dotés d'un module spécialisé qui leur permet de contourner la vérification de la signature numérique après modification.

Tool.SilentInstaller.14.origin

Tool.SilentInstaller.7.origin

Tool.SilentInstaller.6.origin

Plateformes potentiellement dangereuses qui permettent aux applications de lancer des fichiers APK sans les installer. Ces plateformes créent un environnement d'exécution virtuel dans le contexte des applications dans lesquelles elles sont intégrées. Les fichiers APK lancés avec leur aide peuvent fonctionner comme s'ils faisaient partie de ces programmes et recevoir automatiquement les mêmes autorisations.

Tool.LuckyPatcher.1.origin

Utilitaire qui permet de modifier les applications Android installées (créer des correctifs pour elles) afin de changer la logique de leur fonctionnement ou de contourner certaines restrictions. Notamment, avec son aide, les utilisateurs peuvent essayer de désactiver la vérification de l'accès root dans les programmes bancaires ou obtenir des ressources illimitées dans les jeux. Pour créer des correctifs, l'utilitaire télécharge des scripts spécialement préparés sur Internet, que n'importe qui peut créer et ajouter à la base de données commune. La fonctionnalité de ces scripts peut également être malveillante, c'est pourquoi les correctifs créés peuvent constituer un danger potentiel.

Adware.ShareInstall.1.origin

Module publicitaire pouvant être intégré à des applications Android. Il affiche des notifications publicitaires sur l'écran de verrouillage du système d'exploitation Android.

Adware.AdPush.36.origin

Adware.AdPush.39.origin

Adware.Adpush.21846

Modules publicitaires intégrables dans les applications Android. Ils affichent des publicités qui induisent les utilisateurs en erreur. Par exemple, ces notifications peuvent être similaires aux messages du système d'exploitation. De plus, ces modules collectent un certain nombre de données confidentielles, et sont également capables de télécharger d'autres applications et d'initier leur installation.

Adware.Airpush.7.origin

Représentant de la famille de modules publicitaires qui sont intégrés à des applications Android et affichent différentes publicités. Selon leur version et modification, il peut s'agir de publicités, de pop-ups ou de bannières. A l'aide de ces modules, les pirates distribuent souvent des malwares en proposant d'installer des applications. De plus, de tels modules transmettent diverses informations confidentielles à un serveur distant.

Menaces sur Google Play

Au mois de mai, les analystes de Doctor Web ont détecté plus de nouvelles applications malveillantes de la famille Android.FakeApp sur Google Play. Certains d'entre elles ont été distribuées sous le couvert de programmes financiers, tels que des livres et manuels de référence, des applis de comptabilité à domicile, des logiciels d'accès aux informations boursières, par exemple, Android.FakeApp.1497, Android.FakeApp.1498, Android.FakeApp.1499, Android.FakeApp.1526, Android.FakeApp.1527, Android.FakeApp.1536. Leur tâche principale est de télécharger des sites frauduleux où les utilisateurs sont invités à devenir des investisseurs. Pour ce faire, ils doivent indiquer leurs données personnelles.

Un autre faux programme, Android.FakeApp.1496, se cachait derrière une application de référence donnant accès à des informations juridiques. Cette appli pouvait télécharger un site via lequel les victimes pouvaient prétendument obtenir une assistance juridique et des remboursements liés à leur affaire.

Le site téléchargé par ce cheval de Troie est illustré ci-dessous. Le visiteur doit répondre à quelques questions, puis remplir un formulaire pour « obtenir une consultation gratuite » avec un juriste.

D'autres programmes contrefaits se sont de nouveau fait passer pour des jeux. Par exemple, Android.FakeApp.1494, Android.FakeApp.1503, Android.FakeApp.1504, Android.FakeApp.1533 et Android.FakeApp.1534. Dans certains cas, ils fonctionnent vraiment comme des jeux, mais leur fonction principale est de charger des sites Web de casinos en ligne et de bookmakers.

Voici des exemples du fonctionnement de ces chevaux de Troie en tant que jeux :

Exemple de site de bookmaker téléchargé par l'un d'entre eux :

Nos analystes ont également découvert un autre programme malveillant conçu pour connecter les utilisateurs à des services payants. Les attaquants l'ont distribué sous le couvert d'une application Air Swipes pour contrôler les appareils Android à l'aide de gestes.

Une fois lancé, ce cheval de Troie télécharge le site de service partenaire via lequel l'abonnement est effectué :

Si la victime démarre le programme lorsque l'accès Internet est désactivé ou si le site cible n'est pas disponible, le programme prétend être l'application promise, mais ne fournit aucune fonctionnalité utile en signalant une erreur. Dr.Web Antivirus détecte ce cheval de Troie comme Android.Subscription.21.

Pour protéger vos appareils Android contre les applications malveillantes et indésirables, nous vous recommandons d’installer les produits antivirus Dr.Web pour Android.

Indicateurs de compromission

Votre Android a besoin d'une protection.

Utilisez Dr.Web

• Premier antivirus russe pour Android
• Plus de 140 millions de téléchargements sur Google Play
• Gratuit pour les utilisateurs des produits Dr.Web pour les particuliers

Télécharger gratuitement