Une variante du malware bancaire Android Cerberus détourne les paramètres d'accessibilité pour voler les codes d'authentification double facteur à usage unique directement dans Google Authenticator. Les chercheurs de Threatfabric en concluent que la fonctionnalité vise à casser la sécurité 2FA des plateformes qui l'utilisent. Les chercheurs craignent sa propagation, qui remettrait en cause la sécurité d'une nouvelle modalité d'authentification double jusqu'ici considérée comme plus sécurisée que la réception de code OTP par SMS.

Les chercheurs de Threatfabric rapportent la détection d'une nouvelle variante du malware bancaire Android baptisé Cerberus. Ce malware avait été détecté pour la première fois en juin 2019 sur des forums où ses services étaient proposés à la location. Ce malware était déjà capable, entre autres, de faire office de keylogger, de collecter et faire suivre les SMS, de collecter tout sur l'appareil, ses données, ses contacts enregistrés, la liste d'appels, utiliser votre smartphone pour passer des appels, contrôler le smartphone à distance (y compris installer des application) et diverses subroutines visant à protéger Cerberus et cacher ses activités malicieuses.

Les chercheurs avaient alors fait remarquer la construction modulaire du programme. Or, il semblerait justement que Cerberus soit en train de bénéficier d'un nouveau module particulièrement dangereux. Celui-ci vise à voler les codes d'authentification double facteurs générés par Google Authenticator. “Le cheval de Troie peut désormais aussi voler les codes 2FA générés par l'application Google Authenticator, en abusant les privilèges d'accessibilité. Lorsque l'application est lancée, le cheval de Troie peut obtenir le contenu de l'interface et le transmettre au serveur [des pirates, ndlr]. Une fois encore, on peut en déduire que cette fonctionnalisée sera utilisée pour contourner les services d'authentification qui dépendent de codes OTP”, explique Threatfabric.

Pour l'heure, heureusement, son usage n'est pas très répandu. Threatfabric relève par ailleurs que les responsables de Cerberus ne font pas encore publicité de ce module sur leurs forums. Suggérant qu'ils sont en train de tester ce vecteur d'attaque. Cette nouvelle menace visant l'authentification double facteurs n'est néanmoins pas à prendre à la légère. L'authentification double facteurs est en effet recommandée pour hausser la sécurité de vos données. Néanmoins toutes les modalités d'authentification double facteurs ne se valent pas. L'authentification par code à usage unique (OTP) reçu par SMS était déjà considérée comme présentant des risques de piratage avec la technique du SIM Swap.

Lire également : Authentification double facteur – Microsoft affirme que c'est efficace à 99,9 % contre les pirates

La méthode consiste à se faire passer pour le propriétaire d'une ligne et demander à l'opérateur l'envoi d'un clone de la SIM sur lequel l'attaquant peut alors recevoir lesdits codes. Il est donc préférable de générer ces codes via une application ou une clé physiques : la génération de code via Google Authenticator est sans doute la méthode la plus populaire actuellement, de quoi inviter à la prudence.

Source : Android Authority