Des pirates imitent les pages du Google Play Store pour miner des cryptomonnaies

Les pirates ciblent les victimes via une nouvelle scheme de hameçonnage. Selon un message de SecureList, les pirates utilisent de fausses pages du Google Play Store pour diffuser une campagne de logiciels malveillants Android au Brésil.

L'application nuisible semble être un téléchargement légitime, mais une fois installée, elle convertit les téléphones infectés en machines de minage de crypto. De plus, elle est utilisée pour installer des logiciels malveillants bancaires et accorder un accès distant aux acteurs de la menace.

Les pirates transforment les smartphones brésiliens en machines de minage de crypto

La campagne commence sur un site de phishing qui ressemble presque identiquement à Google Play. L'une des pages propose une fausse application appelée INSS Reembolso, qui prétend être liée au service de sécurité sociale du Brésil. La conception UX/UI copie un service gouvernemental de confiance et la disposition du Play Store pour faire apparaître le téléchargement comme sûr.

Après l'installation de la fausse application, le logiciel malveillant décompresse le code caché en plusieurs étapes. Il utilise des composants chiffrés et charge le code malveillant principal directement en mémoire. Il n'y a aucun fichier visible sur l'appareil, ce qui rend difficile pour les utilisateurs de détecter toute activité suspecte.

Le logiciel malveillant contourne également l'analyse par les chercheurs en sécurité. Il vérifie si le téléphone fonctionne dans un environnement émulé. S'il en détecte un, il cesse de fonctionner.

Après une installation réussie, le logiciel malveillant continue de télécharger plus de fichiers malveillants. Il affiche un autre écran de style Google Play, puis affiche une fausse invite de mise à jour et pousse l'utilisateur à appuyer sur le bouton de mise à jour.

L'un de ces fichiers est un mineur de crypto, qui est une version de XMRig compilée pour les appareils ARM. Le logiciel malveillant récupère la charge utile de minage depuis une infrastructure contrôlée par l'attaquant. Ensuite, il la déchiffre et l'exécute sur le téléphone. La charge utile connecte les appareils infectés aux serveurs de minage contrôlés par les attaquants pour miner de la crypto silencieusement en arrière-plan.

Le logiciel malveillant est sophistiqué et ne mine pas la crypto aveuglément. Selon l'analyse de SecureList, le logiciel malveillant surveille le pourcentage de charge de la batterie, la température, l'âge de l'installation et si le téléphone est activement utilisé. Le minage commence ou s'arrête en fonction des données surveillées. L'objectif est de rester caché et de réduire toute chance de détection.

Android tue les applications en arrière-plan pour économiser la batterie, mais le logiciel malveillant contourne cela en bouclant un fichier audio presque silencieux. Il simule une utilisation active pour éviter la désactivation automatique d'Android.

Pour continuer à envoyer des commandes, le logiciel malveillant utilise Firebase Cloud Messaging, qui est un service Google légitime. Cela facilite pour les attaquants l'envoi de nouvelles instructions et la gestion de l'activité sur l'appareil infecté.

Cheval de Troie bancaire cible les transferts USDT

Le logiciel malveillant fait plus que miner des pièces. Certaines versions installent également un cheval de Troie bancaire qui cible Binance et Trust Wallet, en particulier lors des transferts USDT. Il superpose de faux écrans sur les vraies applications, puis il remplace silencieusement l'adresse du portefeuille par une contrôlée par l'attaquant.

Le module bancaire surveille également les navigateurs comme Chrome et Brave et prend en charge une large gamme de commandes à distance. Celles-ci incluent l'enregistrement audio, la capture d'écrans, l'envoi de messages SMS, le verrouillage de l'appareil, l'effacement des données et la journalisation des frappes au clavier.

D'autres échantillons récents conservent la même méthode de livraison d'application fausse mais changent de charge utile. Ils installent BTMOB RAT, un outil d'accès distant vendu sur les marchés souterrains.

BTMOB fait partie d'un écosystème de malware-as-a-Service (MaaS). Les attaquants peuvent l'acheter ou le louer, ce qui abaisse la barrière à l'entrée pour le piratage et le vol. L'outil donne aux attaquants un accès plus profond, y compris l'enregistrement d'écran, l'accès à la caméra, le suivi GPS et le vol d'identifiants.

BTMOB est activement promu en ligne. Un acteur de la menace a partagé des démonstrations du logiciel malveillant sur YouTube, montrant comment contrôler les appareils infectés. Les ventes et le support sont gérés via un compte Telegram.

SecureList a déclaré que toutes les victimes connues se trouvent au Brésil. Certaines variantes plus récentes se propagent également via WhatsApp et d'autres pages de phishing.

Des campagnes de piratage sophistiquées comme celle-ci sont un rappel de vérifier tout et de ne faire confiance à rien.