Des pirates informatiques utilisent le messager Telegram avec un logiciel malveillant pour prendre le contrôle du système

D'après les informations disponibles, le logiciel malveillant s'infiltre dans les appareils via des publicités trompeuses intégrées à des applications et des boutiques d'applications tierces se faisant passer pour des plateformes de rencontre et de communication légitimes. Cette menace représente une recrudescence significative de la distribution de logiciels malveillants mobiles, avec 58 000 appareils infectés.

De plus, elle s'est également répandue sur plus de 3 000 smartphones, tablettes, boîtiers TV et certains systèmes embarqués de véhicules sous Android.

Des pirates informatiques utilisent Telegram avec un logiciel malveillant pour obtenir un accès

Le rapport indique que la distribution de la porte dérobée a débuté en 2024, le pirate ciblant principalement les utilisateurs brésiliens et indonésiens via des modèles en portugais et en indonésien. Les victimes découvrent des publicités au sein de l'application mobile, qui les redirigent vers de faux catalogues d'applications présentant de faux avis et des bannières promotionnelles vantant des services de chat vidéo et de rencontres gratuits. Ces faux sites web proposent des applications infectées par un logiciel malveillant , identiques aux applications légitimes.

Outre les sites web malveillants, la porte dérobée a également infiltré des plateformes tierces établies, notamment APKPure, ApkSum et AndroidP, où elle est publiée de manière trompeuse sous le nom du développeur officiel de la messagerie, malgré une signature numérique différente.

Les analystes ontdentle logiciel malveillant comme possédant une capacité exceptionnelle à voler des informationsdent, notammentdentde connexion, les mots de passe et l'historique complet des conversations. La porte dérobée masque également les indicateurs de compte compromis en dissimulant les connexions provenant d'appareils tiers dans la liste des sessions Telegram actives.

De plus, il est capable de supprimer ou d'ajouter ses victimes à des chaînes et des discussions sans leur approbation, en dissimulant entièrement ces actions, et en transformant les comptes compromis en outils permettant de gonfler artificiellement le nombre d'abonnés aux chaînes Telegram.

Ce qui le distingue des menaces Android classiques, c'est son utilisation de la base de données Redis pour les opérations de commande et de contrôle. Les versions précédentes du logiciel malveillant s'appuyaient sur des serveurs C2 traditionnels, mais les développeurs ont intégré des commandes basées sur Redis.

Le logiciel malveillant manipule les fonctionnalités sans être détecté

Le rapport indique que la porte dérobée utilise plusieurs techniques pour manipuler les fonctionnalités de la messagerie sans être détectée. Pour les opérations n'affectant pas les fonctionnalités essentielles de l'application, les pirates utilisent des copies préexistantes des méthodes de la messagerie, c'est-à-dire des blocs de code distincts responsables de tâches spécifiques au sein de l'architecture du programme Android.

Ce miroir permet à l'application d'afficher des messages d'hameçonnage dans des fenêtres qui reproduisent parfaitement les de Telegram X. interfaces

Pour les opérations nécessitant une intégration plus poussée, le logiciel malveillant utilise le framework Xposed afin de modifier les méthodes de l'application, permettant ainsi de masquer certaines conversations, de dissimuler les appareils autorisés et d'intercepter le contenu du presse-papiers. Ce logiciel malveillant de type porte dérobée utilise les canaux Redis et les serveurs C2 pour recevoir de nombreuses commandes, notamment le téléchargement de SMS, de contacts et du contenu du presse-papiers lorsqu'un utilisateur réduit ou restaure la fenêtre de messagerie.

La surveillance du presse-papiers est utilisée par les pirates informatiques pour voler des données, telles que des mots de passe de portefeuilles de cryptomonnaies, des phrases mnémoniques ou des communications professionnellesdentexposées à leur insu. La porte dérobée collecte des informations sur l'appareil, les données des applications installées, l'historique des messages et les jetons d'authentification, et transmet ces informations aux pirates toutes les trois minutes, tout en conservant l'apparence d'un fonctionnement normal de la messagerie Telegram.