Android/RewaFake : découverte d’une vaste campagne d’adwares sur Google Play

Auteur : Fernando Ruiz

L’équipe de recherche mobile de McAfee a identifié plus de 1 900 applications distinctes associées à cette campagne sur plus de 500 000 appareils dans pas moins de 190 pays. D’après les tendances observées en matière de publication, nous estimons que les opérateurs publiaient environ 20 à 25 nouvelles applications par jour, chacune s’appuyant sur des thèmes, des marques et des cibles de vol d’identité différents. C’est en Inde, en Russie et aux États-Unis que l’on a observé le plus grand nombre d’appareils concernés.

La plupart de ces applications ont été publiées sur la plateforme Android officielle en se faisant passer pour des produits connus, tels que CapCut, Roblox, Zelle, PayPal, Netflix, Xbox Game Pass, Siri et iMessage, sous différents comptes de développeurs. Elles partageaient une base de code commune, reproduisaient les mêmes comportements trompeurs et contactaient le même serveur distant, qui indiquait à chaque application où rediriger ses utilisateurs. Cette destination constituait un funnel publicitaire et, lors de nos tests, les publicités qu’elle diffusait redirigeaient vers des pages tierces frauduleuses proposant des abonnements facturés jusqu’à 49,99 $ par mois.

McAfee a identifié ces applications malveillantes, a procédé à une analyse technique et a communiqué ses conclusions à Google par le biais des canaux de divulgation responsable. Suite au signalement de McAfee, Google a supprimé toutes les applications identifiées de Google Play. McAfee est membre de l’App Defense Alliance, qui encourage la collaboration au sein de l’écosystème mobile afin d’améliorer la protection des utilisateurs. McAfee Mobile Security identifie ces applications comme présentant un risque moyen. Pour plus d’informations et pour bénéficier d’une protection complète, rendez-vous sur le site de McAfee Mobile Security.

Découvrez McAfee+

Protection contre le vol d’identité et de votre vie privée en ligne

Télécharger McAfee+

L’impact mondial

Cette campagne d’applications frauduleuses a touché des consommateurs du monde entier : les chercheurs de McAfee ont identifié plus de 1 900 applications distinctes sur plus de 500 000 appareils dans pas moins de 190 pays.

Les données de détection de McAfee montrent comment cette campagne s’est déployée sur les principaux marchés. McAfee a enregistré 11 862 détections au Royaume-Uni, 5 016 en Allemagne, 4 288 en France, 1 434 en Australie et 944 au Japon. McAfee a protégé près de 3 900 appareils en France, où 450 applications frauduleuses distinctes ont été détectées. Les leurres les plus courants étaient des applications de streaming et de sport gratuites et de faux outils d’IA.

Ces chiffres correspondent aux applications frauduleuses identifiées par McAfee, et non au nombre total d’infections. Ils indiquent les endroits où McAfee a détecté ces applications, et non le taux d’infection global dans chaque pays.

Des leurres différents selon les régions

Bien que la campagne ait utilisé les mêmes tactiques de base partout dans le monde, les types d’applications détectées variaient selon les régions. À l’échelle mondiale, les applications de montage vidéo et de retouche de photos représentaient 19 % des détections, suivies par les applications de streaming, de télévision et de sport (13 %).

Un examen plus approfondi des différents marchés met en évidence des différences notables :

• Royaume-Uni : les applications de streaming, de télévision et de sport représentaient 17 % des détections, suivies par les applications de montage vidéo et de retouche de photos, avec 13 %.
• Allemagne : les applications de santé frauduleuses représentaient 22 % des détections, suivies par les jeux et les modifications de jeux, avec 16 %.
• France : les applications de streaming, de télévision et de sport étaient les plus répandues (20 %), suivies par les clones d’outils d’IA (17 %).
• Australie : les applications de montage vidéo et de retouche de photos et les clones d’outils d’IA étaient pratiquement à égalité, représentant chacun près de 16 % des détections.
• Japon : les applications de santé frauduleuses représentaient 29 % des détections, suivies par les applications de streaming, de télévision et de sport, avec 18 %.

Ces résultats montrent comment une même campagne d’applications frauduleuses peut se présenter sous des formes très différentes selon ce que recherchent les consommateurs. Qu’il s’agisse d’une application de santé, d’un assistant d’IA, d’un service de streaming ou d’un jeu populaire, des noms familiers et des marques reconnaissables peuvent donner l’impression qu’une application frauduleuse est digne de confiance.

Le risque ne se limite pas à un seul pays ni à un seul type d’application. Il s’agit toujours de la même supercherie : une application qui promet un service familier, mais qui offre en réalité quelque chose de tout à fait différent.

Les applications financières frauduleuses

Nous avons identifié des applications frauduleuses se faisant passer pour Zelle, PayPal, Apple Pay, Mir Pay, Binance et plusieurs banques. Une application PayPal frauduleuse avait été téléchargée plus de 10 000 fois.

Zelle ne dispose pas d’application autonome destinée aux particuliers : elle est intégrée à l’application de votre banque. Toute personne recherchant « Zelle » sur Google Play commet donc déjà une erreur. Par ailleurs, Apple Pay ne dispose d’aucune application Android. Les utilisateurs qui la recherchent ne peuvent donc pas trouver de résultat légitime. Ces deux types de recherches n’ont pas de réponse correcte, ce qui en fait un trafic idéal à intercepter.

Figure 1. Les premiers résultats sur Google Play pour la recherche « Zelle » sont des applications frauduleuses

Ajoutez à cela un navigateur intégré à l’application dont la barre d’adresse est masquée et dont la destination est contrôlée à distance par l’opérateur, et le profil de risque d’une application bancaire frauduleuse n’est tout simplement pas le même que celui d’une fausse application de montage vidéo, même si, pour l’instant, les deux ne font rien de plus grave que d’afficher des publicités.

Du point de vue de l’utilisateur, le risque actuel est simple : lorsqu’il recherche « Zelle » sur Google Play, les premiers résultats affichent des applications frauduleuses, et leur installation ne lui fournit pas un guide bancaire, mais un flot de publicités en plein écran. En appuyant sur l’une d’entre elles, l’utilisateur accède à une page lui demandant les informations de sa carte bancaire pour profiter d’un essai « gratuit » qui lui sera ensuite facturé chaque mois.

Ce que les utilisateurs ont réellement obtenu : un catalogue de jeux d’argent, avec un classement « Tout public »

Dans plusieurs cas, nous avons observé un parcours conçu comme un quiz s’apparentant à un jeu d’argent : « Gagnez le méga jackpot », « 50 000 PIÈCES PAR JOUR », « RÉPONDEZ AU QUIZ SUR LE FOOTBALL » ou encore « Jouez maintenant ».

Voyons maintenant qui consultait ces pages de la boutique d’applications : parmi les applications dont les données étaient encore disponibles au moment de notre analyse, celles qui se faisaient passer pour des marques destinées aux enfants et aux adolescents avaient été téléchargées plus de 86 000 fois :

À l’échelle de la campagne, nous avons identifié 37 applications se faisant passer pour des jeux et des services destinés aux jeunes joueurs : Roblox, Minecraft, Fall Guys, Brawl Stars, Clash of Clans, Deltarune, Xbox Game Pass et même GTA VI.

Figure 2. Application Xbox frauduleuse comptant plus de 5 000 installations

Chacune de ces annonces était classée « Tout public ».

Voici donc comment cela se passe : un enfant recherche « Roblox » sur Google Play, installe une application intitulée « Roblox », portant le logo Roblox et classée « Tout public » — et se retrouve redirigé vers un catalogue de récompenses de type jeu d’argent que l’opérateur peut réorienter à sa guise. Aucun exploit, aucune demande d’autorisation, aucun avertissement.

Les recherches sans réponse correcte

Une application illustrait particulièrement bien cette stratégie : publiée sous le nom « AppStore: App Downloader », elle utilisait une ancienne icône de l’App Store et se présentait comme une version Android de la boutique d’applications officielle d’Apple.

Figure 3. AppStore frauduleux sur Google Play, avec plus de 1 000 téléchargements

Il ne peut pas exister d’App Store officiel sur Android, car Apple exploite l’App Store exclusivement pour ses propres plateformes, et les applications iOS qu’elle distribue ne sont pas compatibles avec le système d’exploitation ni avec le format d’application d’Android. Toute application Android se présentant comme l’App Store d’Apple usurpe donc l’identité de ce service au lieu de proposer la boutique d’applications officielle.

« AppStore: App Downloader » n’était pas une boutique d’applications alternative, mais un funnel publicitaire usurpant la marque Apple, classé « Tout public » et distribué via Google Play.

Il n’existe pas d’application App Store, Siri, iMessage, FaceTime ou Apple Pay pour Android. Zelle ne dispose pas d’application autonome destinée aux particuliers : elle est intégrée à l’application de votre banque. Toutes les recherches effectuées chaque jour sur Google Play ne donnent donc aucun résultat légitime.

Figure 4. Plusieurs applications frauduleuses qui n’existent pas officiellement sur Android

C’est l’intention même de l’utilisateur qui constitue la faille : il veut une application qu’il ne peut pas obtenir, et une application similaire à celle qu’il désire apparaît. Aucun contrôle de sécurité n’intervient à ce moment-là. Il ne s’agit absolument pas d’une défaillance technique : une personne fait confiance à un logo, ce qui est précisément la raison d’être des logos.

Comment les publicités s’affichent-elles ?

Chaque application n’est qu’une enveloppe. Elle arbore le nom de marques que les gens recherchent — CapCut, Roblox, Zelle, PayPal, Netflix, Huawei Health, Xbox Game Pass, Siri, iMessage — mais derrière cette image de marque, elle ne contient aucun produit réel. Il s’agit en fait d’un redirecteur.

Au démarrage, l’application se connecte à un serveur géré par l’opérateur :

hxxps://rewadevelopments[.]online/data/.json

Le serveur répond en envoyant un petit bloc de configuration. Un champ de ce bloc, « qureka_url », contient une adresse Web. L’application récupère cette adresse et l’ouvre dans une fenêtre de navigateur intégrée à l’application, un onglet personnalisé Chrome, configuré de manière à masquer la barre d’adresse.

Dans tous les cas que nous avons observés, l’adresse vers laquelle les utilisateurs étaient redirigés correspondait à un site de quiz de type jeu d’argent promettant des récompenses quotidiennes sous forme de pièces. Les utilisateurs n’ont pas reçu de tutoriel sur CapCut ni de guide sur Zelle. Ils ont obtenu un flux ininterrompu de pages publicitaires et de quiz, qui permettent à l’opérateur de générer des revenus.

Le mécanisme est plus important que la charge virale. Comme la destination est récupérée depuis le serveur à chaque lancement, l’opérateur peut modifier à tout moment la destination vers laquelle ces applications redirigent les utilisateurs, pour n’importe quelle application, sans avoir à publier de mise à jour ni à soumettre à nouveau l’application à la modération. Une application arborant le logo d’une banque, qui ouvre une fenêtre de navigateur dont la barre d’adresse est masquée et dont la destination est choisie par l’opérateur, peut être exploitée à des fins de phishing et d’exfiltration d’identifiants.

Figure 5. Publicités extraites du site Web et affichées en plein écran, qui mènent à des fraudes à labonnement

Les publicités en plein écran que les utilisateurs voient ne sont pas diffusées par l’application. Ses propres emplacements publicitaires sont configurés avec des identifiants de test publics de Google, qui ne génèrent aucun revenu. L’application ne tire donc aucun profit des publicités qu’elle diffuse. Les publicités proviennent du site Web ouvert par l’application : la destination indiquée dans la configuration JSON à distance. L’espace publicitaire de cette page regorge d’offres trompeuses qui, lorsqu’on appuie dessus, redirigent vers des formulaires de paiement par carte bancaire liés à des fraudes à l’abonnement.

Ce qui rend ces applications intéressantes, c’est ce qu’elles ne font pas

Il n’y a ni exploit, ni élévation de privilèges, ni tentative de rootage, ni chargement dynamique de code, ni obfuscation, ni charge virale chiffrée, ni chaîne d’injecteurs. Ces applications ne demandent aucune autorisation Android présentant un risque. Du point de vue de l’analyse statique classique, leur code présente très peu des indicateurs généralement associés aux malwares Android.

Cette campagne contourne bon nombre de ces contrôles, car sa principale manœuvre de tromperie se déroule en dehors du code de l’application. Plutôt que d’exploiter une faille logicielle, les opérateurs tirent parti de la confiance que les utilisateurs accordent à une boutique d’applications officielle et à des marques reconnues.

Le comportement après l’installation peut rester techniquement simple, comme c’est le cas ici avec la redirection publicitaire, car convaincre l’utilisateur d’installer l’application constitue l’étape la plus cruciale de l’opération.

Les utilisateurs concernés n’ont pas eu besoin de suivre un lien malveillant ni d’installer manuellement un fichier APK provenant d’un forum non officiel. Ils ont recherché dans une boutique d’applications officielle un produit qu’ils reconnaissaient, et les résultats de la recherche ont affiché une application dont le nom, le logo et l’identité visuelle correspondaient à ce qu’ils attendaient.

Comment vous protéger

• N’installez des applications financières qu’à partir du site Web de votre banque ou d’un lien vérifié. Si vous recherchez une boutique d’applications pour une marque de paiement, vous correspondez exactement au profil visé par cette campagne.
• Méfiez-vous des applications employant les termes « guide », « tutoriel », « aide » ou « astuces » pour des produits que vous utilisez déjà.
• Les services légitimes n’ont pas besoin qu’un tiers explique leur fonctionnement.
• Vérifiez le nom du développeur, et pas seulement le nom et l’icône de l’application. L’application d’une marque légitime est publiée par cette marque.
• Si un produit n’existe pas sur votre plateforme, aucune application ne peut le proposer. Il n’y a ni Apple Pay, ni Siri, ni iMessage pour Android.
• Ne tenez pas compte du nombre d’installations comme indicateur de confiance. Plusieurs de ces applications ont été téléchargées des dizaines de milliers de fois.
• Utilisez un logiciel de sécurité mobile. McAfee Mobile Security détecte cette campagne.

Conclusion

La sécurité mobile s’est réellement améliorée. Les autorisations sont plus restreintes, le sandboxing est plus efficace, les mesures de protection contre les exploits sont systématiques, la modération des boutiques d’applications détecte davantage de problèmes qu’auparavant, et l’IA identifie désormais les charges virales dissimulées à une échelle qu’aucune équipe humaine ne pourrait égaler. Chacune de ces défenses est efficace, mais aucune n’a été mise à l’épreuve dans ce cas précis.

Les pirates s’attaquent à un élément du système qui ne peut pas être corrigé : le jugement de la personne qui a le téléphone en main. Et ils exercent une pression précisément là où votre jugement est le plus faible : un logo familier, une boutique officielle, un nom qui correspond à votre recherche.

Ces applications sont considérées comme des adwares ou comme présentant un risque modéré, plutôt que comme des malwares, car le contenu frauduleux ne provient pas d’elles. L’application ouvre une page Web choisie par son opérateur. Les emplacements publicitaires de cette page sont alimentés par des plateformes publicitaires programmatiques ouvertes, qui vendent ces emplacements au plus offrant. Les pages de fraude à l’abonnement appartiennent à ces annonceurs.

Alors que les cybercriminels continuent d’exploiter la confiance plutôt que des vulnérabilités logicielles, McAfee reste déterminé à protéger les utilisateurs, à les sensibiliser et à collaborer avec l’ensemble du secteur afin de veiller à ce que des applications en apparence inoffensives ne se transforment pas en opérations de fraude à grande échelle.

 Indicateur de compromission

Applications les plus répandues

Applications financières frauduleuses