Attention au navigateur Chrome piraté sur Android !

Arnaques InternetAndroidEscroquerieGoogle ChromePiratage

Un navigateur Chrome pour Android disponible hors de Google Play utilise une signature numérique via un certificat corrompu et de plus utilisé pour d’autres malwares !

navigateur chrome

Comme le navigateur Chrome est devenu un standard sur les téléphones Android, vous ne vous attendez pas à trouver une version piratée de l’application hors de Google Play, qui pose de réels problèmes. Mais dans un cas, que le SophosLabs a récemment analysé, les techniques utilisées pour polluer l’application, une fois dans la nature, ont réussi à pénétrer au sein de Google Play par le biais d’autres applications.

Rowland Yu, un expert Android du SophosLabs, a déclaré qu’un des malwares trouvé dans des versions corrompues du navigateur Chrome se dénommait Andr/SandRat-C, et avait été développé pour échapper aux signatures numériques, qui sont au cœur des procédures de sécurité modernes.

Alors que la version piratée du navigateur Chrome n’est pas dans Google Play, un autre malware avec la même fonctionnalité, Andr/Rootnik-AH, s’y trouve quant à lui. Yu a expliqué la menace plus largement aux utilisateurs d’Android :

Le point principal est que Google Play autorise un certificat compromis [via le malware associé], bien qu’il sache que ce certificat a été utilisé pour signer des malwares rootkit.  

Des versions Chrome corrompues téléchargées

Après des vérifications supplémentaires, Yu a déclaré que le laboratoire avait trouvé plus de 1000 applications malveillantes distribuées hors de Google Play. L’une d’entre elles est un navigateur Chrome piraté, a déclaré Yu.

Le lab a déjà vu des versions de Chrome contenant Andr/SandRat-C, avec sa première détection en 2015. Le payload malveillant dans ce cas avait les mêmes fonctionnalités que le lab a découvert récemment, à savoir l’enregistrement audio ou d’autres médias, la lecture du contenu de SMS, l’envoi de SMS, et la demande de géolocalisation du téléphone. Yu a déclaré :

Lorsque la première version piratée de Chrome a été découverte en 2015, quelques personnes téléchargeaient encore des applications en dehors de Google Play.  

L’image ci-dessous montre les informations du certificat dans la version piratée du navigateur Chrome :

navigateur chrome

Dans ce cas, le même icône et les mêmes fonctions sont présentés tels qu’ils apparaîtraient dans un navigateur Chrome officiel. Voici le payload malveillant du navigateur Chrome piraté :

navigateur chrome

En outre, le même certificat numérique est utilisé pour signer un autre rootkit avec une fonctionnalité pour contourner la sécurité Android SELinux (détecté sous Andr/Rootnik-AH). Le rootkit se trouvait encore dans Google Play récemment, mais a été supprimé depuis. Cela signifie que le certificat pour Andr/Rootnik-AH et Andr/SandRat-C était très probablement corrompu, a déclaré Yu.

Les signatures numériques sont une partie importante de la sécurité informatique moderne, et sont utilisées pour vérifier l’authenticité des messages ou des documents numériques. Yu explique :

Au sein d’Android, tous les APK doivent être signés numériquement avec un certificat avant qu’ils ne puissent être publiés et installés. Une signature numérique se compose d’une paire de clés publique/privée. Un APK signé avec la clé privée d’un développeur peut être vérifié par quiconque pouvant accéder à la clé publique dans l’APK. Le développeur a la responsabilité de la sécurité de la clé privée.  

Le SophosLabs a réalisé que quelque chose n’allait pas parce qu’il ne pouvait pas trouver un site web officiel lié à l’entreprise ou au développeur ayant créé le certificat numérique : CN=apk-icon-editor et O=Internet Widgits Pty Ltd, ST=Some-State, C=AU.

navigateur chrome

Google Play encore pollué ?

Bien que le navigateur Chrome piraté ait été trouvé hors de Google Play, la base de données du SophosLabs affiche plus de 700 applications signées avec le même certificat douteux dans Google Play. Parmi eux, Google Play en a supprimé 292. Cela laisse plus de 400 applications suspectes dans Google Play, comme celle-ci ou encore celle-là. La plupart d’entre elles sont des applications indésirables et peuvent n’avoir aucun comportement malveillant.

Les utilisateurs de Sophos sont protégés

Étant donné que des preuves solides ont montré que le certificat avait été corrompu, le SophosLabs a décidé de les bloquer tous en tant qu’applications potentiellement indésirables, PUA/Android Abused Certificate, pour protéger ses clients. Yu a déclaré :

C’est parce que nous traitons la clé privée comme un élément crucial, tant pour les développeurs que pour les utilisateurs.


Billet inspiré de Downloading Chrome for Android? Be careful – we’ve found an evil twin, sur Sophos nakedsecurity.

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out /  Change )

Google+ photo

You are commenting using your Google+ account. Log Out /  Change )

Twitter picture

You are commenting using your Twitter account. Log Out /  Change )

Facebook photo

You are commenting using your Facebook account. Log Out /  Change )

Connecting to %s

This site uses Akismet to reduce spam. Learn how your comment data is processed.