Certains smartphones Android à petit prix arrivent chez leurs propriétaires avec un malware déjà présent dans le système. Les chercheurs de Bitdefender ont mis au jour cette campagne, baptisée Midnight Mimosa, qui touche des appareils équipés de puces MediaTek. L’infection se trouve dans le firmware, c’est-à-dire le logiciel de base du téléphone. Elle est donc très difficile à supprimer.
Un malware installé avant la première utilisation
Bitdefender a repéré des applications malveillantes intégrées à la partition système de téléphones Android bon marché. À cet endroit, elles disposent de droits bien plus étendus que n’importe quelle application classique.
Concrètement, elles peuvent installer ou supprimer des applications sans demander l’avis de l’utilisateur, accorder des autorisations sensibles à d’autres logiciels et télécharger du nouveau code depuis des serveurs distants. Les chercheurs ont identifié plusieurs variantes qui se cachent derrière des noms de paquets d’apparence anodine, comme com.android.system.lite, com.android.sys.prot ou com.android.sys.gmsprot. Un utilisateur qui tomberait dessus dans la liste de ses applications penserait à un composant normal d’Android.
Lire Aussi : AdBlock360 : bloquer les publicités sur tout Windows, navigateurs et applications compris
Plus de 150 pays concernés
Bitdefender affirme avoir observé Midnight Mimosa sur plusieurs milliers d’appareils différents et dans plus de 150 pays. Le Mexique, la France et l’Italie arrivent en tête, suivis des États-Unis, de l’Allemagne, du Brésil et de l’Espagne.
Les chercheurs ont découvert des téléphones qui se font passer pour des modèles haut de gamme. Certains affichent des noms proches de ceux des Galaxy de Samsung, et d’autres imitent la nomenclature des iPhone. Un appareil présenté comme un modèle premium peut donc cacher du matériel d’entrée de gamme avec un logiciel modifié. Le nom du modèle affiché dans les réglages ne prouve rien, puisque des contrefaçons reprennent même des références Samsung authentiques.
Le firmware analysé était signé avec des certificats associés à Shenzhen Zediel, un fabricant chinois. Bitdefender précise que cela ne prouve pas que cette entreprise a créé le malware ni qu’elle connaissait sa présence. L’endroit où le code malveillant a été introduit dans la chaîne de fabrication et de distribution reste inconnu.
Ce que fait le malware
Midnight Mimosa ne cherche pas à voler des mots de passe dès le départ, et il n’affiche pas d’alerte visible. Son objectif principal semble être de rapporter de l’argent à ses opérateurs sans se faire remarquer.
La première source de revenus est la fraude publicitaire. Le composant système installe en silence des applications qui ressemblent à des outils météo, des verrous d’applications ou d’autres utilitaires courants. Ces applications affichent des publicités dans des fenêtres cachées ou génèrent des clics sans que le propriétaire touche l’écran. Les annonceurs paient alors pour une activité qui ne vient d’aucune vraie personne. Bitdefender a recensé au moins 32 applications déguisees dans l’ensemble de l’opération.
Lire Aussi : Comment récupérer un compte email piraté (et comment le protéger durablement)
Un téléphone transformé en proxy
Les chercheurs ont également trouvé du code capable de transformer un téléphone infecté en proxy résidentiel. Dans ce cas, une personne qui contrôle le malware peut faire passer son trafic internet par la connexion du téléphone. Pour les sites web, ce trafic semble provenir du domicile ou du réseau mobile du propriétaire. Les cybercriminels y trouvent leur intérêt, car cela masque l’origine réelle de leurs activités. Le même type d’infrastructure pourrait servir à des botnets ou à des attaques par déni de service distribué.
Bitdefender confirme que le malware contient bien les éléments techniques nécessaires. Les chercheurs ont toutefois précisé par la suite qu’un des serveurs contactés était en réalité un sinkhole, un système qui intercepte les communications malveillantes. Leurs tests n’ont donc pas montré de trafic réellement relayé par un appareil infecté. La capacité existe, mais son usage effectif n’a pas été démontré.
Le Play Store désactivé pendant l’installation
Avant d’installer certaines applications malveillantes, le malware désactive temporairement l’application Google Play Store. Bitdefender pense que cette étape sert à éviter la détection par Google Play Protect pendant l’installation. Une fois l’opération terminée, le Store est réactivé et le propriétaire ne remarque rien. Certaines versions modifient aussi les registres d’installation d’Android pour que les applications semblent provenir de Google Play, alors qu’elles ont été installées directement par le malware. Vérifier la source d’une application ne suffit donc pas toujours.
13 applications sur Google Play
Il n’est pas obligatoire de posséder un téléphone infecté pour croiser des logiciels liés à la campagne. Bitdefender a repéré 13 applications publiées sur Google Play qui contenaient du code de fraude publicitaire apparenté et qui communiquaient avec l’infrastructure de la campagne. On y trouvait des outils météo, des applications liées aux QR codes, des éditeurs audio et d’autres utilitaires.
Ces versions n’ont pas les privilèges système nécessaires pour installer d’autres applications en silence. Elles peuvent en revanche provoquer de la publicité indésirable, y compris en dehors de leur propre interface.
Lire Aussi : Doxing : ce que c’est, pourquoi ça arrive et comment s’en protéger
Comment limiter les risques ?
Acheter chez un vendeur fiable : Un smartphone vendu très peu cher et présenté comme un modèle haut de gamme doit éveiller la méfiance. Il vaut mieux passer par un revendeur établi ou un vendeur agréé, puis comparer le modèle et ses caractéristiques avec la fiche du site officiel du fabricant.
Vérifier la certification Google : Dans le Play Store, touchez votre photo de profil en haut à droite, puis Paramètres, puis À propos. La ligne Certification Play Protect indique si l’appareil est certifié. Un appareil non certifié ne contient pas forcément un malware, mais il justifie de contacter le fabricant ou le vendeur. À l’inverse, la certification ne garantit pas que le firmware est sain.
Garder Play Protect activé : Ouvrez le Play Store, touchez votre photo de profil, puis Play Protect et Paramètres, et vérifiez que l’option d’analyse des applications est active. Un antivirus peut ajouter une couche de détection, sachant qu’il peut repérer un firmware malveillant sans avoir les droits pour le retirer. C’est d’ailleurs la détection comportementale de Bitdefender qui a signalé un composant système inhabituel au départ de l’enquête.
Passer en revue les applications et les autorisations : Dans Réglages, ouvrez la liste des applications et cherchez celles que vous ne reconnaissez pas, surtout si elles demandent des accès inhabituels. Le gestionnaire d’autorisations, dans Sécurité et confidentialité, permet de contrôler l’accès aux SMS et à d’autres fonctions sensibles.
Surveiller le comportement du téléphone : Une consommation de données inexpliquée, une activité excessive en arrière-plan, des publicités inattendues ou des applications qui apparaissent seules peuvent être des signes d’infection. Le détail de la consommation par application se trouve dans les réglages Réseau et internet.
Faire attention aux mises à jour et aux réinitialisations : Les mises à jour doivent venir des canaux de support officiels du fabricant. Une réinitialisation d’usine supprime les données personnelles et les applications installées par l’utilisateur, mais elle ne remplace pas forcément un logiciel compromis stocké dans la partition système. D’après Bitdefender, retirer le composant privilégié peut nécessiter un nettoyage du firmware ou des outils spécialisés comme Android Debug Bridge. Pour la plupart des utilisateurs, modifier soi-même le firmware ajoute des risques. Si le fabricant ne fournit pas d’image de firmware vérifiée et saine, remplacer l’appareil est souvent la solution la plus prudente.
Protéger ses comptes en cas de doute : Si une infection est probable, utilisez un autre appareil de confiance pour changer les mots de passe importants. Vérifiez l’activité récente de ces comptes et activez l’authentification à plusieurs facteurs avec de préference une application d’authentification ou des clés d’accès.
Cette affaire montre surtout que le prix très bas de certains modèles peut s’accompagner d’un manque de contrôle sur les logiciels livrés avec l’appareil, un point que les vendeurs et les places de marché pourraient mieux vérifier.