Nouvelle menace Android : une attaque combinant logiciels malveillants et rançongiciels

Lorsque les cybercriminels ciblent les appareils des utilisateurs, ils les infectent généralement avec un type parmi plusieurs types de logiciels malveillants : soit un programme de vol d’informations, soit un cheval de Troie pour l’accès à distance, soit une porte dérobée, soit un ransomware chiffré.

Il est rare de voir toutes ces fonctions intégrées dans une seule entité, et encore plus rare de les voir destinées aux appareils mobiles Android. Pourtant, des chercheurs en sécurité de Zimperium ont fait une découverte similaire.

Mantax Otax

La société de sécurité Zimperium a publié un rapport détaillé sur Mantax Otax , une souche de logiciel malveillant unique qui se propage actuellement. Ce logiciel semble avoir été développé par un cybercriminel indonésien et cible des victimes en Indonésie, mais le nombre exact de personnes infectées reste inconnu, de même que la question de savoir si la campagne vise principalement les entreprises ou le grand public.

Ce logiciel malveillant est distribué sous forme de fichier APK autonome, ce qui signifie qu'il peut être trouvé sur des plateformes de téléchargement d'applications tierces, des chaînes Telegram, des forums et sur les réseaux sociaux. Aucune trace de Mantax Otax n'a été détectée dans les plateformes officielles, notamment le Google Play Store et le Samsung Galaxy Store. Zimperium suppose également qu'il est probablement distribué via des courriels d'hameçonnage.

Mantax Otax cible principalement les utilisateurs d'anciens téléphones Android. Les versions 9 et antérieures sont les plus vulnérables, car les attaquants peuvent exploiter toutes les fonctionnalités du logiciel malveillant sur ces appareils. Android 10 et les versions ultérieures offrent une certaine protection.

Les chercheurs expliquent : « En revanche, sur les appareils modernes fonctionnant sous Android 10 et versions ultérieures , les défenses natives du système d’exploitation, notamment les restrictions de stockage limité, entravent considérablement l’efficacité du logiciel malveillant. » Ils ajoutent : « Grâce à ces règles de sandbox, le ransomware est limité à l’analyse du seul répertoire de fichiers externe désigné pour l’application, ce qui réduit considérablement l’étendue des dégâts et limite la taille des fichiers utilisateur accessibles. »

Les appareils plus récents , ainsi que les utilisateurs des solutions Mobile Threat Defense (MTD) et Runtime Application Protection (zDefend) de Zimperium, seraient protégés au niveau logiciel.

Un autre point crucial concerne les autorisations. Comme c'est souvent le cas sur les appareils Android, la plupart des logiciels malveillants ne fonctionnent que si l'utilisateur leur accorde au préalable un large éventail d'autorisations. Dans ce cas précis, Mantax Otax demande d'abord les privilèges d'administrateur, puis s'octroie une liste exhaustive de capacités, allant de l'accès aux SMS, aux contacts, aux fichiers audio et aux photos.

Ensuite, il demande les autorisations d'accès, obtenant ainsi le contrôle total de l'appareil compromis.

capacités malveillantes

Mantax Otax possède d'importantes capacités de vol de données et de contrôle des appareils. Il dérobe l'historique de navigation, les contacts, les journaux d'appels, les SMS, les notifications , les fichiers, le contenu de la galerie, les informations du compte Google, les spécifications de l'appareil, les données de géolocalisation et la liste des applications installées. Il peut également extraire des informations WhatsApp telles que les messages et les profils, et sur Telegram, il peut même voler les codes PIN de verrouillage d'écran.

Outre ses capacités de vol de données, cet outil sert également de dispositif de surveillance à distance, permettant de prendre des captures d'écran, d'enregistrer l'écran ou de le diffuser en direct aux attaquants. Il peut capturer des images à l'aide des caméras avant et arrière, bien que Zimperium n'ait pas mentionné de fonctionnalité d'enregistrement du microphone.

Enfin, une fois toutes les données collectées, le logiciel crypte les fichiers de l'utilisateur à l'aide d'AES, supprime les fichiers originaux et ajoute l'extension .enc. Les victimes se voient alors proposer une interface de chat leur permettant de communiquer directement avec les pirates et de négocier une rançon en échange de la restitution de leurs appareils.

L'outil semble être en développement continu. Zimperium a découvert deux versions distinctes, dont l'une représente une évolution de l'autre. Les chercheurs ont noté : « Il convient de mentionner qu'il a modifié son comportement en matière de trafic réseau pour utiliser les WebSockets et introduit un ensemble de nouvelles commandes. »

Il y a une raison pour laquelle les auteurs de rançongiciels privilégient les entreprises aux particuliers. Bien que ces derniers ne soient pas totalement absents de la liste des victimes, les entreprises subissent des pertes considérables du fait des interruptions d'activité et sont donc fréquemment ciblées. Malheureusement, nous ignorons quel type d'application Mantax Otax imite, ce qui rend difficile l'identification de ses victimes potentielles.