Les pirates armés de malware utilisent le messager Telegram pour prendre le contrôle du système

Selon les rapports, le malware est envoyé sur les appareils via des publicités in-app trompeuses et des magasins d'applications tiers qui se font passer pour des plateformes de rencontres et de communication légitimes. Cette menace représente une escalade significative dans la distribution de malwares mobiles, se propageant sur 58 000 appareils infectés.

En outre, il s'est également propagé sur plus de 3 000 smartphones, tablettes, décodeurs TV et certains systèmes de véhicules basés sur Android.

Les pirates utilisent Telegram avec un malware pour accéder aux systèmes

Le rapport affirme que la distribution du backdoor a commencé en 2024, le pirate ciblant principalement les utilisateurs brésiliens et indonésiens via des modèles en portugais et en indonésien. Les victimes tombent sur des publicités au sein de l'application mobile, qui les redirigent vers des catalogues d'applications falsifiés présentant de faux avis et des bannières promotionnelles annonçant des chats vidéo gratuits et des opportunités de rencontres. Ces faux sites web livrent des applications infestées de malware qui ressemblent exactement aux légitimes.

Outre les sites web malveillants, le backdoor a également infiltré des dépôts tiers établis, notamment APKPure, ApkSum et AndroidP, où il est publié de manière trompeuse sous le nom du développeur officiel du messager, bien qu'il ait une signature numérique différente.

Les analystes ont identifié que le malware possède une capacité exceptionnelle à voler des informations confidentielles, y compris les identifiants de connexion, les mots de passe et l'intégralité des historiques de chat. Le backdoor masque également les indicateurs de compte compromis en cachant les connexions d'appareils tiers des listes actives des sessions Telegram.

En outre, il est capable de retirer ou d'ajouter ses victimes à des canaux et des chats sans leur approbation, déguisant entièrement ces actions et transformant les comptes compromis en outils pour gonfler artificiellement les abonnés des canaux Telegram.

Ce qui le distingue des menaces Android conventionnelles est son utilisation de la base de données Redis pour les opérations de commande et de contrôle. Les versions antérieures du malware s'appuyaient sur des serveurs C2 traditionnels, mais les développeurs ont intégré des commandes basées sur Redis.

Le malware manipule les fonctionnalités sans être détecté

Le rapport affirme que le backdoor utilise plusieurs techniques pour manipuler les fonctionnalités du messager sans être détecté. Pour les opérations qui n'interféreront pas avec les fonctionnalités principales de l'application, les pirates utilisent des miroirs déjà préparés des méthodes du messager, qui sont des blocs de code séparés responsables de tâches spécifiques au sein de l'architecture du programme Android.

Ce miroir permet à l'application d'afficher des messages de phishing dans des fenêtres qui reproduisent parfaitement les interfaces originales de Telegram X.

Pour d'autres opérations nécessitant une intégration plus profonde, le malware utilise le framework Xposed pour modifier les méthodes de l'application, permettant des capacités telles que la dissimulation de chats spécifiques, le masquage des appareils autorisés et l'interception du contenu du presse-papiers. Le malware backdoor utilise les canaux Redis et les serveurs C2 pour recevoir des commandes étendues, y compris le téléchargement de SMS, de contacts et de contenus du presse-papiers chaque fois qu'un utilisateur minimise ou restaure la fenêtre du messager.

La surveillance du presse-papiers est utilisée par les pirates pour voler des données, telles que les mots de passe des portefeuilles crypto, les phrases mnémoniques ou les communications d'entreprise confidentielles qui ont été involontairement exposées. Le backdoor collecte les informations de l'appareil, les données des applications installées, les historiques de messages et les jetons d'authentification, et transmet les informations aux pirates toutes les trois minutes tout en maintenant l'apparence d'une opération normale du messager Telegram.