L’authentification à deux facteurs (2FA) est conçue pour assurer la sécurité des utilisateurs en offrant une ligne de défense supplémentaire contre les attaquants. Mais que se passe-t-il lorsque ce sont les applications 2FA elles-mêmes qui sont malveillantes ? C’est exactement ce que nous étudions dans un nouveau rapport de la société de sécurité mobile Pradeo, qui analyse une application 2FA compromise qui a été téléchargée plus de 10 000 fois avant que Google ne la retire à la mi-janvier.
L’application examinée par Pradeo s’appelle 2FA Authenticator. Bien que construite autour d’un cadre 2FA open-source légitime, une charge utile cachée contenait un paquet de logiciels malveillants connu sous le nom de Vultur, un cheval de Troie d’accès à distance (RAT).
Le faux authentificateur a adopté une approche à plusieurs volets pour voler des données. Tout d’abord, il a recueilli une liste des applications installées et des données de localisation (afin que les cybercriminels puissent cibler des utilisateurs spécifiques par pays). Sous couvert d’installer des « mises à jour », le malware a désactivé les contrôles de sécurité du système, travaillant secrètement même après que la victime ait cru que l’application était fermée. Une fois prête, l’application libère Vultur, qui se concentre sur les applications bancaires. C’est à ce moment-là qu’un lent drainage des finances de la victime peut commencer.
Les RAT en tant que tels, et plus particulièrement ceux qui ciblent les informations bancaires, sont loin d’être des menaces nouvelles, mais l’une des caractéristiques les plus insidieuses de ce virus est qu’il était très bien dissimulé. L’application fonctionnait extérieurement comme un utilisateur raisonnable pouvait s’y attendre, mais 2FA Authenticator était un loup dans la bergerie, car le logiciel dangereux était essentiellement caché dans une coquille de code open-source de l’application 2FA Aegis Authenticator, tout à fait légitime.
Avec tout cela porté à son attention, Google a évidemment retiré 2FA Authenticator du Play Store – vous pouvez voir l’ancienne liste via l’image si dessous- et toute personne assez malchanceuse pour l’avoir déjà devrait le supprimer de son téléphone immédiatement (sinon envisager un nettoyage complet).
