Près de dix millions d'utilisateurs Android ont été infectés par l'application de lecture de codes-barres « Barcode Scanner », après que l'application légitime a été transformée en logiciel malveillant. Le comportement malveillant du logiciel a été mis au jour par les chercheurs de la société de sécurité Malwarebytes, qui l'ont signalé à Google, entraînant le retrait de l'application du Play Store.
C'est fin décembre dernier que les chercheurs ont commencé à recevoir des appels à l'aide d'utilisateurs d'appareils Android. L'entreprise explique que ces utilisateurs voyaient apparaître des publicités intempestives dans leur navigateur par défaut. Le plus étrange, c'est qu'aucun d'entre eux n'avait installé d'application récemment. Pourtant, toutes les applications installées depuis provenaient directement de Google Play.
Les publicités pop-up se sont poursuivies jusqu'à ce que l'une des victimes du malware découvre que les publicités provenaient d'une application installée depuis longtemps appelée Barcode Scanner.
Les chercheurs ont rapidement intégré la détection après qu'un utilisateur l'ait signalée et que Google ait retiré l'application de son Play Store . De nombreux utilisateurs utilisaient l'application sur leurs appareils mobiles depuis longtemps, dont un qui l'avait installée depuis des années.
Après une mise à jour déployée en décembre , l'application Barcode Scanner, initialement conçue comme un lecteur de QR codes et un générateur de codes-barres (un utilitaire pratique pour appareils mobiles), s'est transformée en un véritable logiciel malveillant. Bien que Google l'ait depuis supprimée, la société de sécurité estime que la mise à jour, survenue le 4 décembre 2020, a modifié son fonctionnement afin qu'elle envoie des publicités sans avertissement préalable.
Alors que de nombreux développeurs intègrent des publicités dans leurs logiciels afin de proposer des versions gratuites, et que les applications payantes n'affichent tout simplement pas de publicités, ces dernières années, le changement s'est produit du jour au lendemain. Les applications de ressources utiles pour les logiciels publicitaires sont de plus en plus courantes.
«Les SDK publicitaires peuvent provenir de diverses sociétés tierces et être une source de revenus pour le développeur d'applications. C'est une situation gagnant-gagnant », a noté Malwarebytes. «Les utilisateurs bénéficient d'une application gratuite, tandis que les développeurs d'applications et les développeurs de SDK publicitaires sont payés. Mais de temps en temps, une société de SDK Ads peut changer quelque chose et les publicités peuvent commencer à devenir un peu agressives.
Il arrive que des tiers aient recours à des pratiques publicitaires agressives, mais ce n'est pas le cas pour ce lecteur de codes-barres. Selon les chercheurs, le code malveillant était inclus dans la mise à jour de décembre et était largement dissimulé afin d'éviter d'être détecté. Cette mise à jour était par ailleurs signée avec le même certificat de sécurité que celui utilisé dans les versions précédentes de l'application Android.
«Non, dans le cas de Barcode Scanner, un code malveillant a été ajouté qui n'était pas présent dans les versions précédentes de l'application. En outre, le code ajouté utilisait une forte obfuscation pour éviter la détection. Pour vérifier qu'il provient du même développeur d'application, nous avons confirmé qu'il avait été signé par le même certificat numérique que les versions propres précédentes ».
Le fait que Google ait retiré l'application de Google Play ne signifie pas qu'elle disparaîtra des appareils concernés . C'est précisément le problème rencontré par les utilisateurs ayant installé Barcode Scanner. Pour le résoudre, ils doivent désinstaller manuellement l'application, désormais malveillante.
Les chercheurs n'ont pas été en mesure de déterminer exactement depuis combien de temps l'application de lecteur de codes à barres était une application légitime sur le Google Play Store avant qu'elle ne devienne malveillante.
«Sur la base du grand nombre d'installations et des commentaires des utilisateurs, nous pensons que cela existe depuis des années. Il est terrifiant qu'avec une seule mise à jour, une application puisse devenir malveillante tout en restant sous le radar de Google Play Protect. Cela me rend perplexe qu'un développeur d'applications avec une application populaire puisse la transformer en malware. Était-ce le plan depuis le début, d'avoir une application inactive, attendant d'arriver après avoir atteint sa popularité? Je suppose que nous ne le saurons jamais », indique le rapport des enquêteurs.
Source : https://blog.malwarebytes.com/