Les mots de passe à usage unique (OTP) sont devenus une pierre angulaire de la cybersécurité moderne, offrant une protection supplémentaire pour les comptes en ligne. Cependant, à mesure que les entreprises s’appuient sur les OTP pour protéger les données et applications sensibles, les cybercriminels ont intensifié leurs efforts pour contourner ces défenses. L’essor des malwares mobiles spécialement conçus pour dérober des OTP est une tendance alarmante et une préoccupation majeure pour les entreprises.
Tribune par Nicolás Chiaraviglio, Chief Scientist chez Zimperium – Depuis février 2022, une campagne de vol de SMS à grande échelle cible Android. Plus de 107 000 échantillons de malwares ont été identifiés*, soulignant la persévérance et la sophistication des attaquants à l’origine de cette campagne. Une étude révèle non seulement la complexité technique du malware, mais également les stratégies utilisées pour infecter les appareils. Le processus démarre généralement par la tentative de téléchargement d’une application malveillante par la victime. Cela peut se produire via des publicités trompeuses qui imitent les app store légitimes ou via des bots Telegram automatisés qui communiquent directement avec les cibles.
Une fois installée, l’application malveillante demande des autorisations de lecture de SMS, une autorisation à haut risque sur Android qui donne accès à des données personnelles sensibles. Par la suite, le malware se connecte à son serveur de commande et de contrôle (C&C), qui orchestre l’attaque en exécutant des commandes et en collectant des données volées. Une fois la connexion établie, le malware est capable de récolter des OTP. Il surveille silencieusement les SMS entrants, interceptant les OTP utilisés pour la vérification des comptes. Cela permet aux attaquants de contourner les mesures de sécurité et d’obtenir un accès non autorisé aux données sensibles.
Les méthodes de propagation de cette campagne sont particulièrement préoccupantes. Les attaquants parviennent à tromper les utilisateurs et à les amener à compromettre leurs appareils.
Dans un exemple notable, les victimes ont interagi avec des bots Telegram lors de la recherche d’applications Android non officielles ou gratuites. Le bot leur a demandé le numéro de téléphone de l’utilisateur, puis envoyé un APK malveillant personnalisé intégrant ce numéro de téléphone. Les hackers ont ainsi pu cibler la victime plus précisément et personnaliser leurs attaques, pour finalement dérober et vendre des informations sensibles.
Plusieurs techniques évolutives semblent avoir été utilisées pour établir des canaux C&C. A l’origine, le malware exploitait Firebase pour les connexions C&C, mais les attaquants ont depuis opté pour l’utilisation de référentiels GitHub afin de partager les détails C&C. Ces référentiels contiennent des fichiers JSON avec des URL vers les serveurs C&C. De plus, GitHub est utilisé pour distribuer des APK malveillants, démontrant ainsi encore l’adaptabilité des attaquants. Une fois que l’appareil de la victime s’enregistre auprès de son serveur C&C configuré, le malware s’empare d’informations personnelles ( SMS, données téléphoniques ,..). Ces informations sont ensuite transmises au serveur C&C, où elles sont collectées et potentiellement vendues ou utilisées pour d’autres attaques.
Cette campagne est d’une ampleur inquiétante, plus de 107 000 applications de malware uniques ont été identifiées et 95% de ces échantillons sont inconnus ou indisponibles dans les référentiels communs. La campagne a ciblé les messages OTP de plus de 600 marques mondiales, affectant les utilisateurs dans 113 pays, principalement en Russie et en Inde. Les chercheurs ont identifié 13 serveurs C&C utilisés pour voler et divulguer des messages SMS à partir des appareils des victimes et ont lié un vaste réseau d’environ 2 600 bots Telegram à cette campagne 2.
Bien que les motivations exactes derrière cette campagne restent floues, l’appât du gain en est probablement le moteur. Un lien entre un site Web, fastsms.su et l’un des échantillons de malware a été découvert. Ce site propose une gamme de services payants, notamment des numéros de téléphone et l’interception d’OTP. L’utilisation de cryptomonnaies comme moyen de paiement renforce la motivation financière, car elle permet de dissimuler l’identité des attaquants.
La prolifération de malwares mobiles conçus pour voler des OTP constitue une menace à la fois pour les particuliers et les entreprises. L’ampleur et la sophistication de cette campagne nécessitent d’adopter des solutions de sécurité mobile robustes. La combinaison du machine learning, de l’analyse comportementale et de techniques déterministes, peut aider les entreprises à assurer une détection et une atténuation complètes des menaces.
* Source : Recherche de Zlabs de Zimperium
