Une menace insidieuse pour Android qui vole des données même sans connexion Internet

Les chercheurs en sécurité de ThreatFabric surveillent de près depuis quelque temps l'infrastructure d'un nouveau logiciel malveillant Android nommé Manic. Ce code malveillant est installé sur au moins 169 applications différentes, notamment des services bancaires mobiles, des services d'identité numérique, des portefeuilles de cryptomonnaies, des applications d'authentification à deux facteurs, et même des applications de communication militaires et professionnelles. Les attaques se concentrent principalement en Ukraine, mais des applications bancaires de plusieurs pays européens, comme l'Allemagne, la France, l'Autriche, la Pologne et d'autres marchés, sont également visées.

Manic combine deux domaines généralement distincts : la fraude bancaire et l’espionnage direct. Ce programme peut suivre la localisation de l’appareil, lire les notifications, consulter les fichiers et contrôler le téléphone à distance. Le virus se propage via des applications conteneurs dont les noms sont similaires à ceux de composants système de fabricants reconnus. Les dernières versions chargent le code directement en mémoire et se dissimulent habilement dans la liste des applications installées.

La technique d'interception du code PIN est particulièrement sophistiquée. Au lieu d'afficher de fausses pages de connexion, le code malveillant superpose une couche transparente aux claviers numériques des applications ciblées. Il enregistre avec précision chaque interaction avec l'écran, puis exploite les services d'accessibilité pour répéter la même action, permettant ainsi à l'application légitime de fonctionner sans interférence perceptible. De plus, le code malveillant peut tester automatiquement les mots de passe déjà enregistrés sur l'écran de verrouillage. Il trie en temps réel tous les caractères saisis par type, distinguant les mots de sécurité des portefeuilles de cryptomonnaies, les codes SMS, les mots de passe et les messages classiques. Les attaquants peuvent également contrôler l'appareil en direct via WebRTC et surveiller l'image de la caméra ou de l'écran, tout en affichant à l'utilisateur un écran noir ou de fausses mises à jour.

L'aspect le plus inhabituel du système réside dans la transmission des informations volées. Si le téléphone infecté n'a pas accès à Internet, il chiffre les données volées à l'aide de l'algorithme AES-GCM et les stocke dans une file d'attente locale. Il utilise ensuite Wi-Fi Direct ou Bluetooth pour détecter d'autres appareils infectés à proximité et leur transmettre le paquet chiffré, qui transite alors par quatre relais intermédiaires maximum avant d'atteindre le serveur de contrôle.

Déconnecter l'appareil du réseau ne suffit pas à empêcher la fuite de données si un autre téléphone infecté se trouve à proximité. La protection de base consiste donc à éviter systématiquement d'installer des fichiers APK provenant de sources non vérifiées et à faire preuve de prudence lors de l'octroi d'autorisations système étendues.