Des chercheurs en cybersécurité ont mis au jour une campagne de déploiement de malwares à travers des applications proposées dans le Play Store de Google. Ce type d’attaque est de plus en plus fréquent. Télécharger sur la boutique en ligne de la firme de Mountain View n’est plus un gage de sécurité.

Les experts en cybersécurité de Cyfirma ont découvert qu’un groupe de hackers nommé DoNot (ou encore APT-C-35) a déployé au moins deux applications malveillantes pour Android sur le Play Store. Celles-ci ont été très peu téléchargées, ce qui laisse penser qu’elles ciblent une ou des victimes très précises. Selon les analystes, DoNot serait un groupe de hacker financé par l’État indien. Leur mode opératoire est identique à celui de SpaceCobra, des pirates qui volent des sauvegardes WhatsApp.

À lire — Netflix, TikTok, YouTube : ces pirates ont caché un malware dans 60 000 fausses apps sur Android

Les pirates de DoNot sont apparus sur les radars des chercheurs vers 2018, année pendant laquelle ils ont ciblé diverses organisations en Asie du Sud-Est. C’est en 2021 qu’Amnesty International a officiellement rattaché leur activité à New Delhi. Officiellement, les pirates créent des applications pour Android sous le nom de SecurITY Industry. Ils proposent ainsi deux applications malveillantes sur le Play Store : une messagerie instantanée appelée nSure et un VPN appelé iKHfaa VPN.

Les pirates utilisent des applications Android malveillantes pour espionner leurs victimes

Lors de leur installation, « ces deux applications demandent des autorisations risquées, telles que l’accès à la liste de contacts de l’utilisateur et aux données de localisation précises ». Il semblerait donc que ces malwares ont été spécifiquement conçus pour collecter des informations sur leurs victimes. En ce sens, ils ne constituent que la première phase d’une attaque à plus grande échelle.

À lire — Cette app Android auparavant légitime vous enregistre maintenant en secret, désinstallez-la

Selon Cyfirma, les tactiques employées par le groupe APT DoNot ont changé depuis quelque temps. « Ils ont franchi une étape supplémentaire en déployant des logiciels malveillants sur le Play Store de Google », car la procédure de téléchargement d’une application Android sur la boutique en ligne est « méticuleuse et implique un examen approfondi de chaque autorisation par les développeurs ».