Prague, République Tchèque, le 18 mai 2021 – Ces dernières semaines, des utilisateurs mobiles de plusieurs pays ont reçu des SMS de type "cheval de Troie" appelés « FluBot ». Derrière ce SMS qui prétend provenir d'une société de livraison se cache un malware qui, une fois installé, pourra voler des informations d'identification et d'autres données personnelles. Si cette attaque est relativement récente, de nombreuses variantes apparaissent. Avast, qui détecte et bloque déjà la menace pour protéger ses utilisateurs sous Android, continue en effet de voir de nouvelles formes de FluBot arriver quotidiennement via sa plate-forme de renseignement sur les menaces mobiles apklab.io.
« Les premières attaques FluBot ont été signalées il y a des semaines, et nous voyons encore des dizaines de nouvelles versions chaque jour » déclare Ondrej David, responsable de l'équipe d'analyse des logiciels malveillants chez Avast. « Alors que les solutions de sécurité bloquent ces attaques, la croissance rapide de cette forme de malware montre qu'elle est particulièrement réussie, et nous exhortons les utilisateurs à rester très vigilants. »
Selon de récentes recherches, FluBot a déjà infecté 60 000 appareils, dont une très grande majorité en Espagne, et le nombre total de numéros de téléphone collectés par les attaquants est estimé à 11 millions fin février / début mars 2021.
« Pour le moment, les principales cibles des pirates sont l’Espagne, l’Italie, l’Allemagne, la Hongrie, la Pologne et le Royaume-Uni. Mais il est possible que la portée des opérations soit étendue à d'autres pays dans un proche avenir. Chaque individu doit être très prudent avec tout SMS entrant qu'il reçoit, en particulier en ce qui concerne les services de livraison », ajoute Ondrej David.
FluBot se propage en envoyant des SMS affirmant que le destinataire a une livraison de colis et l’invite à télécharger une application de suivi en utilisant le lien inclus. L'application est un logiciel malveillant qui, une fois installé, vole les informations de contact de la victime et les télécharge sur un serveur distant. Ces informations sont ensuite utilisées par le serveur pour envoyer d'autres messages et distribuer davantage de SMS malveillants à ces mêmes contacts "volés".
L'application malveillante utilise un composant Android appelé "Accessibilité" pour surveiller ce qui se passe sur l'appareil et en prendre le contrôle. Par exemple, cela lui permet d'afficher des superpositions de fenêtres de haute priorité. En d'autres termes, le logiciel malveillant peut afficher quelque chose par-dessus tout ce qui est actuellement à l'écran tel qu'un faux portail bancaire affiché sur une activité d'application bancaire légitime. Si l'utilisateur entre ses informations d'identification sur cet écran de superposition, elles peuvent être volées et utilisées !
Ce composant est exploité par le logiciel malveillant comme mécanisme d'auto-défense pour annuler toute tentative de désinstallation par les utilisateurs concernés, ce qui rend difficile la suppression de l'application une fois installée.
« Ce logiciel malveillant est particulièrement efficace car il se déguise en service de livraison de colis. De nombreux utilisateurs en seraient facilement victimes, surtout en cette situation de pandémie où la livraison à domicile est devenue fréquente », commente Ondrej David.
Pendant la pandémie, de plus en plus de consommateurs se sont habitués aux achats en ligne et il n'est pas rare de recevoir souvent des colis. Depuis la crise sanitaire, les deux tiers d’entre eux ont augmenté leurs activités d'achat en ligne. Les cybercriminels qui développent des logiciels malveillants tirent parti de cette tendance et des événements actuels pour s'assurer qu'ils attirent autant de victimes potentielles que possible.