Le logiciel malveillant Brokewell Mobile se propage via de fausses mises à jour de Chrome
Des mises à jour de navigateur contrefaites sont utilisées pour distribuer un nouveau malware Android connu sous le nom de Brokewell, qui n'était auparavant pas documenté.
Selon une analyse réalisée par des chercheurs en sécurité publiée en avril 2024, Brokewell est un malware bancaire contemporain doté de capacités à la fois de vol de données et de contrôle à distance.
Le malware évolue activement, avec un développement continu introduisant de nouvelles commandes pour capturer les événements tactiles, le texte à l'écran et les applications lancées.
Brokewell se déguise en diverses applications, notamment Google Chrome, ID Austria et Klarna :
- jcwAz.EpLIq.vcAZiUGZpK (Google Chrome)
- zRFxj.ieubP.lWZzwlluca (ID Autriche)
- com.brkwl.upstracking (Klarna)
Comme d'autres logiciels malveillants Android récents, Brokewell peut contourner les restrictions de Google sur les applications téléchargées qui tentent de demander des autorisations de service d'accessibilité.
Une fois installé et lancé, le cheval de Troie bancaire invite la victime à accorder les autorisations du service d'accessibilité, permettant ainsi l'octroi automatique d'autres autorisations pour mener des activités malveillantes.
Brokewell est livré avec diverses boîtes à outils malveillantes
Les capacités de Brokewell incluent l'affichage d'écrans de superposition pour voler les informations d'identification des utilisateurs, l'interception des cookies de session, l'enregistrement audio, la prise de captures d'écran, l'accès aux journaux d'appels et à l'emplacement des appareils, la liste des applications installées, l'envoi de messages SMS, les appels téléphoniques, l'installation/désinstallation d'applications et la désactivation des services d'accessibilité.
Le malware permet aux acteurs malveillants de visualiser à distance le contenu de l'écran en temps réel et d'interagir avec l'appareil par des clics, des balayages et des touches.
Brokewell est attribué à un développeur utilisant le pseudonyme « Baron Samedit Marais » qui gère le projet « Brokewell Cyber Labs ». Le projet comprend un chargeur Android hébergé sur Gitea, conçu pour contourner les restrictions d'autorisation d'accessibilité sur des versions spécifiques d'Android et déployer l'implant cheval de Troie.
Le chargeur, ressemblant à un compte-gouttes, génère des applications avec un nom de package par défaut « com.brkwl.apkstore », potentiellement accessibles aux autres acteurs malveillants cherchant à échapper aux mesures de sécurité d'Android.
