Vous vous souvenez de HummingBad ? Nous avons parlé de ce malware pour la première fois au milieu de l’année dernière, et il a touché plus de 85 millions d’appareils. Un problème important avec n’importe quel malware est qu’il ne nécessite que des modifications de base pour devenir quelque chose de différent, et c’est ainsi que nous arrivons à HummingWhale, qui a réussi à s’infiltrer dans Google Play Store. Les applications infectées ont été téléchargées au moins deux millions de fois, et malgré ces changements, l’objectif est le même : générer des revenus grâce à la publicité et à de fausses applications.
Un malware qui utilise des machines virtuelles
Les utilisateurs d’Android sont une cible très tentante, et il y a toujours des occasions où un développeur malveillant parvient à cacher son code dans ce qui semble être une application légitime. C’est une course aux armements pour Google. Le géant de Mountain View est assez doué pour détecter les applications infectées, mais une fois que « l’autre côté » assimile ses méthodes, il fait tout pour éviter et insérer son malware. Le dernier rapport publié par les équipes de Check Point nous parle d’une nouvelle campagne sous le nom de HummingWhale. Si ce nom vous semble familier, c’est parce qu’il s’agit d’une variante du célèbre HummingBad, avec la différence qu’elle est beaucoup plus intelligente.
Au total, vingt applications contenant HummingWhale ont été détectées et téléchargées entre deux à douze millions de fois. Check Point a suivi cette famille de malwares pendant des mois et a déterminé qu’au lieu de chercher un accès root sur l’appareil, HummingWhale utilise des techniques associées aux machines virtuelles. Lorsque l’utilisateur tente de fermer la publicité malveillante de HummingWhale, le malware télécharge des applications indésirables dans cette machine virtuelle et crée une fausse identification qui lui permet d’obtenir des revenus supplémentaires en abusant des parrainages (referrals). L’utilisation d’une machine virtuelle élimine le besoin de root, et comme si cela ne suffisait pas, HummingWhale peut publier de faux commentaires et de fausses notes afin d’améliorer la réputation des applications infectées dans le magasin.
Les applications concernées et les solutions
Le rapport de Check Point contient la liste complète des applications, mais en substance, elles commencent par « com » et se terminent par « camera » (par exemple, «com.note.ocean.camera»). Comme on pouvait s’y attendre, Google a déjà retiré les applications en question, et Check Point propose une application compatible capable de détecter ce type d’infection, tout comme Lookout, l’un de ses concurrents directs.
