Avec Hirudo, « vérifier l’appli » ne sert plus à rien : vérifiez la source

« Vérifiez que l’application a le bon aspect » est depuis des années un conseil de sécurité classique. Essayez donc de le suivre quand le malware supprime lui-même votre vraie application bancaire et installe une imitation qui se comporte de la même façon. C’est la leçon inconfortable de Hirudo.

Selon l’article de CHIP sur les conclusions de ThreatFabric, Hirudo se fait passer pour une application de shopping, de divertissement ou de vidéos courtes. Une fois installé, il demande des autorisations sous un prétexte, dont les services d’accessibilité. Il supprime ensuite l’application bancaire d’origine, télécharge une version modifiée et l’installe. ThreatFabric a trouvé à ce jour des copies de huit applications bancaires.

L’application piégée ressemble largement à l’originale. Selon les informations disponibles, les attaquants peuvent récupérer les mots de passe bancaires, les codes PIN de paiement et de l’appareil, les SMS et le contenu de l’écran, et même détourner la caméra et le micro. Les premiers cas concernaient des applications bancaires indonésiennes, avec des signes d’attaques contre des établissements financiers en Chine, en Inde, au Mexique, au Maroc et en Thaïlande. Le nombre de victimes est inconnu, mais il se chiffrerait en milliers.

Les contrôles auxquels nous faisions confiance sont contournés

Ce qui inquiète, ce n’est pas la fausse application. Les fausses applications n’ont rien de nouveau. C’est qu’un mécanisme de hooking intégré peut, selon les informations disponibles, contourner les vérifications de signature, les contrôles d’accessibilité et les requêtes Play Integrity, précisément les garde-fous censés détecter une altération. Une banque ne peut pas facilement distinguer « mon application réelle » d’« une copie qui répond comme mon application réelle » si tout ce sur quoi repose la vérification s’exécute sur le téléphone compromis.

Pour les utilisateurs, les vieux conseils (« regardez l’icône », « vérifiez le nom », « assurez-vous que c’est la bonne version ») ne suffisent plus. Un article secondaire, shattered.io, va jusqu’à affirmer que l’application de remplacement porte les mêmes nom et version que l’originale. À notre avis, ce conseil est obsolète face à ce type de menace. On ne peut pas vérifier une application à l’œil nu quand l’attaquant contrôle ce que l’on voit.

Où se trouve la vraie défense: avant l’installation

Si l’on ne peut plus se fier à l’application après coup, la décision qui compte est celle qui précède: ce que l’on laisse entrer sur le téléphone. Hirudo ne commence pas par une application bancaire. Il commence par une application de shopping ou de vidéo d’apparence anodine, et par l’accès d’accessibilité que vous lui accordez. Disons-le donc sans détour:

• N’installez qu’à partir de sources officielles. N’ouvrez pas de fichiers APK provenant de boutiques inconnues, aussi bonne l’affaire paraisse-t-elle.
• Considérez comme un signal d’alerte la demande d’accessibilité d’une application de shopping ou de vidéo. Notre avis: si une application banale en a besoin, supprimez-la.
• Gardez l’appareil à jour et lancez régulièrement des analyses Play Protect, comme le recommande l’article de CHIP.

Rien de tout cela n’est glamour, et Play Protect n’a rien de magique. Mais, à notre avis, ce sont les habitudes qui fonctionnent avant que le mal soit fait. Nous préférons nous fier à une habitude ennuyeuse plutôt qu’à l’autocontrôle d’une application bancaire.

Les banques doivent sortir la vérification du téléphone

La recommandation faite aux banques est le passage le plus révélateur: lier les contrôles de sécurité au côté serveur et à des transactions précises. Nous y voyons l’aveu tacite que les seuls contrôles sur l’appareil ne tiennent pas. À notre avis, c’est la direction que prend le secteur, et les utilisateurs doivent probablement s’attendre à davantage d’étapes de confirmation lors des paiements. Pénible, certes, mais mieux qu’une fausse page de paiement qui affiche « succès » après avoir pris vos données.

Voyez la source d’installation comme la serrure de la porte

En cas de soupçon d’infection, le conseil du BSI cité par CHIP est de vérifier les applications installées récemment et de les supprimer en premier. Ensuite, lancez une analyse avec un antivirus à jour, essayez le mode sans échec et gardez la réinitialisation d’usine en dernier recours, d’où l’importance des sauvegardes. Mais la prévention coûte bien moins cher. Voyez la source d’installation comme la serrure de la porte, et non comme une préférence. Hirudo montre qu’une fois que quelque chose est entré, « ça a l’air normal » ne prouve rien.