L'application bancaire qui a fait le paiement n'était pas celle du téléphone
Android dispose d'une fonction appelée profil professionnel : une zone cloisonnée du téléphone où une entreprise peut placer ses propres applications, séparées de vos photos et de vos messages. C'est une très bonne idée. Group-IB a publié le 9 septembre des travaux montrant que des criminels lui ont trouvé un usage que personne n'avait prévu.
Le cheval de Troie s'appelle Gigabud, il existe depuis 2022, et il arrive comme d'habitude. Une fausse application imitant une compagnie aérienne nationale, un centre des impôts ou un portail public, installée depuis un lien reçu par message ou sur un réseau social plutôt que depuis une boutique officielle. À l'installation, elle réclame l'accès à l'Accessibilité, l'autorisation de s'afficher par-dessus les autres applications et une dérogation à l'économie de batterie. Une fois ces droits obtenus, les opérateurs peuvent piloter le téléphone à distance, lister ce qui est installé, superposer de faux écrans de connexion à la vraie application bancaire et enregistrer discrètement le code de verrouillage, le tout derrière un écran noir pour que le propriétaire ne voie rien.
La nouveauté est une seconde application nommée Vwork, une version allégée de l'outil libre Shelter dont les garde-fous ont été retirés, présentée en un unique écran de configuration rédigé en chinois. Vwork crée un profil professionnel et l'application de la banque y est clonée. L'analyse de sécurité d'un profil ne voit pratiquement pas dans l'autre : l'alerte levée dans l'espace personnel n'est donc jamais reliée à la transaction effectuée depuis l'espace professionnel, et le paiement arrive à la banque comme s'il venait d'un appareil sans le moindre antécédent. En Indonésie, entre février et juillet de cette année, Group-IB a recensé environ 1 469 téléphones compromis et des pertes d'à peu près 960 000 dollars. Les échantillons conçus pour cette combinaison visent onze pays, dont le Brésil, la Colombie, l'Égypte, le Mexique, la Thaïlande et la Turquie.
Si vous voulez vérifier votre propre téléphone, ouvrez Paramètres, puis Mots de passe et comptes, et cherchez un onglet Professionnel que vous n'avez jamais créé. Pour le reste : uniquement des applications issues des boutiques officielles, et n'accordez jamais l'accès à l'Accessibilité à un logiciel qui n'est pas un outil d'accessibilité. C'est le même réflexe qui protège un PC, où le danger vient généralement d'un installeur récupéré dans un résultat de recherche. Les mises à jour d'applications de Tendvane passent par winget, l'outil de paquets de Microsoft, si bien que ce qui s'installe provient de la vraie source de l'éditeur et non de la page de téléchargement la mieux classée du jour.