le 3 octobre 2014

Il existe aujourd'hui beaucoup de logiciels malveillants ciblant les appareils mobiles conçus pour recueillir les données ainsi qu'espionner les utilisateurs. L'un des malwares ciblant Android conçu dans ce but a été détecté récemment. Cependant, il faut noter que contrairement à ses consoeurs, cette menace a été développée pour cibler un groupe particulier d’utilisateurs. Les spécialistes de Doctor Web ont étudié cette menace qui a été baptisée Android.SpyHK.1.origin.

La nouvelle menace ciblant Android a été distribuée parmi les manifestants à Hongkong. Le Trojan s'est installé sur les appareils mobiles sous couvert d'une application pour la coordination des actions des manifestants.

Lancé sur l'appareil mobile infecté, Android.SpyHK.1.origin télécharge sur le serveur de gestion les données sur l'appareil infecté (par exemple la version de l'OS, le numéro de téléphone, l’identificateur IMEI, les performances de l'appareil, etc), puis attend les commandes. Le Trojan possède de nombreuses fonctionnalités et, en fonction de la commande reçue peut exécuter les actions suivantes :

• récupérer le contenu d'un répertoire spécifié (nom, taille, date de la dernière modification des fichiers et dossiers) ;
• obtenir les coordonnées GPS de l'appareil ;
• faire une entrée dans le fichier de log ;
• afficher un message sur l'écran avec un texte prédéfini ;
• appeler un numéro en particulier ;
• récupérer des données sur l'appareil ;
• exécuter le script shell spécifié ;
• obtenir la liste complète des contacts (nom, numéro de téléphone et adresse e-mail) ;
• accéder aux SMS ;
• obtenir l'historique des appels ;
• ajouter des numéros de téléphone à la liste d'écoute ;
• obtenir la liste des numéros qu'il faut écouter ;
• télécharger un fichier depuis une adresse Web spécifiée ;
• supprimer un fichier en particulier sur l’appareil;
• télécharger un fichier spécifié sur le serveur de gestion ;
• activer le dictaphone avec une périodicité spécifiée ;
• activer le dictaphone avec l'envoi de l'enregistrement au socket du serveur de gestion ;
• désactiver le dictaphone ;
• télécharger sur le serveur de gestion les bases locales du client de messagerie ;
• obtenir l'historique du navigateur ;
• envoyer les données de la carte SD au serveur de gestion ;
• exécuter plusieurs commandes pour récupérer les données confidentielles et les envoyer au serveur.

Android.SpyHK.1.origin possède de nombreuses fonctionnalités qui le distinguent des autres Trojans Espions. En particulier, afin de déterminer les coordonnées GPS des appareils infectés, le Trojan exploite une vulnérabilité connue du widget de gestion de l'alimentation système, qui permet d'activer certaines fonctionnalités de l'appareil mobile en évitant les paramètres généraux du système. Malgré le fait que cette vulnérabilité ait été corrigée en 2011, certains utilisateurs ont signalé qu’elle est apparue de nouveau dans les dernières versions du système d'exploitation. Ainsi, dans certains cas, Android.SpyHK.1.origin peut théoriquement activer le récepteur GPS du Smartphone ou de la tablette infectés même si l'utilisateur a bloqué l'utilisation de cette fonctionnalité.

De plus, la transmission de l'enregistrement du dictaphone au socket du serveur de gestion permet d'écouter en temps réel. Cette solution technique offre une alternative à l'écoute à l'aide d'un appel masqué : Même en cas de blocage des réseaux cellulaires par la police pour une durée déterminée, les pirates ont toujours la possibilité d’utiliser des réseaux Wi-Fi publics leur permettant d’agir. De plus, comme la plupart des données sont transmises directement au socket du serveur de gestion (s'il est assez performant), les malfaiteurs peuvent recevoir en temps réel des données opérationnelles sur l'environnement dans lequel les appareils mobiles infectés se trouvent en les enrôlant au système de surveillance.

Tout cela permet de conclure que les malfaiteurs ont lancé une attaque ciblée afin d'obtenir des données sur les manifestants à Hongkong et sur leurs actions dans le futur. Il ne faut pas exclure que des logiciels malveillants similaires puissent être utilisés dans d'autres régions du monde, c'est pourquoi les utilisateurs des appareils mobiles doivent rester prudents et ne pas installer de logiciels suspects sur leurs appareils mobiles.

La signature de ce malware a été ajoutée aux bases virales Dr.Web, c'est pourquoi le Trojan Android.SpyHK.1.origin ne représente aucun danger pour les utilisateurs de Dr.Web pour Android et Dr.Web pour Android Light.

Plus d'infos sur cette menace