Les limitations en matière de mises à jour, une fragmentation considérable et un nombre effrayant d'appareils en circulation font d'Android une cible très tentante pour les développeurs de malwares, et l'un des derniers exemples est HummingBad. Le but de cette variante est de générer des faux clics, d'installer des applications malveillantes et d'obtenir d'autres gains illégitimes via la publicité. On estime que depuis sa découverte, plus de 85 millions d'appareils ont été compromis.
Pourquoi Android est une cible privilégiée
S'il y a une chose que l'on peut dire avec certitude sur les malwares, c'est qu'ils ne restent pas les bras croisés. Chaque nouvelle annonce concernant des infections ou des attaques généralisées apporte une information, une découverte ou une ressource exploitée par des développeurs malveillants. Sur les ordinateurs de bureau, le ransomware a progressé de manière surprenante, compromettant précisément les terminaux sans protection adéquate dans des lieux comme les hôpitaux et les agences gouvernementales. Si l'on se tourne vers les appareils mobiles, la cible préférée est sans aucun doute Android, en raison du nombre impressionnant de smartphones et de tablettes sur le marché, ainsi que de ses problèmes de conception naturels qui l'empêchent de répondre assez rapidement aux menaces immédiates. Cela nous amène à HummingBad, un nouveau malware découvert en février 2016, et surveillé par la société de sécurité Check Point au cours des derniers mois.
Le fonctionnement de HummingBad
HummingBad est resté relativement «endormi» pendant la période «février-mars-avril», mais son activité a explosé au mois de mai, si bien qu'aujourd'hui on parle d'un total effectif qui dépasse les 85 millions d'appareils. D'un point de vue technique, HummingBad est un rootkit, dont la première action consiste à obtenir un accès root sur l'appareil, et à défaut, à tenter de tromper l'utilisateur pour obtenir les autorisations nécessaires. Son travail se divise en trois parties : générer de faux clics, installer des applications malveillantes et injecter de la publicité dans l'appareil. Ce triple mécanisme a permis à Yingmob, une agence de publicité basée à Pékin et auteure intellectuelle de HummingBad via son «groupe de développement pour plateformes à l'étranger», de réaliser des gains frauduleux d'environ 300 000 dollars par mois en moyenne.
Les victimes et la prévention
Les gens de Check Point indiquent qu'il y a environ dix millions d'utilisateurs actifs «utilisant» les applications malveillantes de Yingmob installées par HummingBad. Bien que le groupe principal se trouve en Chine et en Inde, le «top 10» montre que le Brésil et le Mexique comptent plus de 300 000 utilisateurs affectés, tandis que les États-Unis dépassent les 280 000. Un autre détail à considérer est que la grande majorité des infections (90 pour cent) étaient concentrées dans les versions Jelly Bean et KitKat d'Android, et seulement huit pour cent ont touché les dernières éditions. Tant Google que Yingmob ont gardé le silence, et Check Point n'a pas fourni de moyen direct pour éliminer HummingBad, mais nous estimons que les utilisateurs infectés devront effectuer une réinitialisation d'usine sur leurs appareils, et que la meilleure voie de prévention est, comme toujours, de limiter nos téléchargements au Google Play Store.
Accédez au rapport complet (PDF) : rapport Check Point
