SecuriDropper Mobile Malware géré pour esquiver la détection
Les experts en cybersécurité ont dévoilé un nouveau service de dropper Android connu sous le nom de SecuriDropper, qui contourne les dernières restrictions de sécurité de Google et diffuse des logiciels malveillants.
Le malware Dropper pour Android est conçu pour servir de canal permettant d'installer des charges utiles malveillantes sur des appareils compromis, ce qui en fait un modèle rentable pour les cybercriminels qui peuvent montrer leurs capacités à d'autres groupes criminels. Cette approche permet également aux adversaires de séparer le développement et l'exécution de l'attaque du processus d'installation réel du malware.
Selon un rapport de la société néerlandaise de cybersécurité ThreatFabric, les droppers et leurs responsables évoluent constamment pour déjouer les mesures de sécurité avancées. Google a introduit une fonctionnalité de sécurité dans Android 13 appelée Paramètres restreints, qui vise à empêcher les applications téléchargées d'acquérir les autorisations d'accessibilité et d'écoute de notification qui sont souvent exploitées par les chevaux de Troie bancaires.
Mode de fonctionnement de SecuriDroppers
SecuriDropper tente de contourner cette barrière de protection sans détection en déguisant le compte-gouttes en application inoffensive. Certains échantillons observés dans la nature incluent des noms d'applications tels que "com.appd.instll.load" dans Google et Google Chrome.
ThreatFabric a souligné que ce qui distingue SecuriDropper est son approche technique du processus d'installation. Contrairement à ses prédécesseurs, cette famille utilise une API Android différente pour installer la nouvelle charge utile, imitant le processus utilisé par les marchés d'applications pour installer de nouvelles applications.
Plus précisément, cela implique de demander des autorisations pour lire et écrire des données sur un stockage externe (READ_EXTERNAL_STORAGE et WRITE_EXTERNAL_STORAGE) ainsi que la possibilité d'installer et de supprimer des packages (REQUEST_INSTALL_PACKAGES et DELETE_PACKAGES).
Dans un deuxième temps, l'installation de la charge utile malveillante est facilitée en invitant les victimes à cliquer sur un bouton « Réinstaller » dans l'application, soi-disant pour résoudre une erreur d'installation.
