L’une des principales recommandations pour protéger nos appareils mobiles est de télécharger tous les logiciels via les boutiques officielles, mais il arrive qu’un élément malveillant parvienne à introduire des applications très bien camouflées. C’est exactement ce qui s’est produit avec SonicSpy, une variante de malware qui a commencé ses activités en février de cette année, en fournissant aux utilisateurs des « messagers instantanés » capables d’enregistrer de l’audio, de prendre des photos, de passer des appels et d’extraire des contacts sans le moindre avertissement.
Le camouflage parfait
On suppose que si un appareil mobile n’a pas l’accès root activé et qu’il obtient ses applications uniquement depuis les boutiques officielles, les probabilités de se retrouver infecté sont faibles. Cependant, les développeurs de malware ne restent pas les bras croisés et cherchent toujours un moyen de faire passer leurs créations à travers les fissures de chaque plateforme. Android a subi les effets de cette « course aux armements » à plus d’une reprise, et malgré le bon travail de Google, analyser le comportement de milliers d’applications qui entrent dans le Play Store chaque jour est une tâche titanesque. C’est à ce moment que les chercheurs indépendants interviennent, et nous découvrons des choses comme SonicSpy, mis au jour par l’équipe de Lookout.
Des capacités bien réelles
SonicSpy a commencé son déploiement en février de cette année, et les données disponibles suggèrent qu’il a été développé par un agent stationné en Irak, sans préciser s’il est gouvernemental ou privé. Plus d’un millier d’applications ont montré une certaine relation avec SonicSpy, mais les plus importantes adoptent la forme de messageries instantanées. « Soniac » se présente comme un clone de Telegram, et en surface elle remplit ses fonctions de base sans incident. Lookout nous explique que l’application a en réalité la capacité d’enregistrer de l’audio, de passer des appels, de prendre des photos, d’envoyer des SMS vers des numéros spécifiés par l’attaquant, et d’extraire des détails comme la liste de contacts, l’historique et la configuration des réseaux WiFi.
Essentiellement, les applications avec SonicSpy effacent leurs traces en supprimant l’icône de leur lanceur, et activent une connexion distante avec un serveur sur le port 2222. SonicSpy partage plusieurs éléments techniques avec SpyNote, un autre malware dont les premiers rapports remontent à juillet 2016. Outre Soniac, « Hulk Messenger » et « Troy Chat » ont réussi à s’installer sur le Play Store, mais une fois leur lien avec SonicSpy détecté, elles ont été rapidement supprimées. En résumé : il ne suffit plus de restreindre les téléchargements à la boutique de Google. Images, texte, descriptions et commentaires doivent être examinés de près avant de télécharger la moindre application.
