Malware Android.

Le malware Android va de la fraude publicitaire et des chevaux de Troie a SMS surtaxes jusqu'aux chevaux de Troie bancaires, aux logiciels espions et aux outils d'acces a distance. Parmi les familles bien documentees figurent Joker (fraude aux SMS surtaxes, retrouve a plusieurs reprises sur Google Play), Anubis et Cerberus (chevaux de Troie bancaires qui abusent des services d'accessibilite pour superposer des ecrans de phishing et voler les OTP recus par SMS), BRATA (RAT bancaire capable de reinitialiser l'appareil aux parametres d'usine) et SharkBot (cheval de Troie bancaire recourant aux systemes de transfert automatise, ATS, pour declencher des virements frauduleux).

Deux campagnes illustrent l'ampleur du phenomene. FluBot, un ver de smishing apparu pour la premiere fois en decembre 2020, se propageait en envoyant par SMS de faux liens de livraison de colis et de messagerie vocale qui installaient un APK, puis recuperait les contacts pour se renvoyer lui-meme par SMS ; en 2022, une operation menee dans 11 pays et coordonnee par l'EC3 d'Europol a demantele son infrastructure. GriftHorse, documente par Zimperium zLabs en 2021, s'est appuye sur environ 200 applications d'apparence anodine pour abonner un nombre estime a plus de 10 millions d'utilisateurs dans plus de 70 pays a des services premium coutant environ 30 EUR par mois.

Le mode de diffusion dominant aujourd'hui est un « dropper » benin qui passe la revue de Google Play, puis installe en sideload la veritable charge utile et demande le Accessibility Service afin de lire l'ecran, de remplir automatiquement des virements frauduleux et de fermer ses propres boites de dialogue de desinstallation. Des familles comme Anatsa (TeaBot) et Xenomorph ont affine cette methode.

Defenses : rester sur Google Play avec l'analyse en temps reel de Play Protect, utiliser les Parametres restreints d'Android 13+ (qui empechent les applications installees en sideload d'acceder a l'accessibilite et au Notification Listener), maintenir le systeme d'exploitation a jour et imposer un EMM/MDM avec attestation Play Integrity sur les appareils d'entreprise.

flowchart TD
  A[L'application dropper passe<br/>la revue de Google Play] --> B[L'utilisateur l'installe<br/>depuis Play ou un SMS de phishing]
  B --> C[L'application installe en sideload<br/>la vraie charge utile]
  C --> D{L'utilisateur accorde-t-il le<br/>Accessibility Service ?}
  D -->|Non| E[Le malware harcele avec de<br/>faux messages systeme]
  E --> D
  D -->|Oui| F[Lit l'ecran, injecte des<br/>superpositions, remplit automatiquement]
  F --> G[Vole OTP / identifiants<br/>Systeme de transfert automatise]
  G --> H[Virement frauduleux<br/>ou abonnement premium]