Logiciel malveillant de vishing FakeCall

Des chercheurs en cybersécurité ont découvert une nouvelle variante de la célèbre famille de menaces Android, FakeCall, qui utilise des techniques de phishing vocal, ou « vishing », pour tromper les utilisateurs et les amener à divulguer leurs informations personnelles.

Cette attaque de vishing avancée s'appuie sur un logiciel malveillant capable de prendre le contrôle d'un appareil mobile infecté, et même d'intercepter les appels entrants et sortants. Les victimes sont amenées à croire qu'elles effectuent des appels légitimes. En réalité, elles sont connectées à des numéros frauduleux gérés par l'attaquant, tout en bénéficiant d'une interface familière sur leur appareil.

Également connu sous les noms de FakeCalls et Letscall, FakeCall a été largement étudié par les chercheurs en sécurité informatique depuis son apparition en avril 2022, les vagues d'attaques précédentes ciblant principalement les utilisateurs mobiles en Corée du Sud.

FakeCall collecte des informations sur les écrans des victimes

Les noms de paquets suivants sont associés aux applications dropper qui distribuent le logiciel malveillant :

• com.qaz123789.serviceone
• com.sbbqcfnvd.skgkkvba
• com.securegroup.assistant
• com.seplatmsm.skfplzbh
• eugmx.xjrhry.eroreqxo
• gqcvctl.msthh.swxgkyv
• ouyudz.wqrecg.blxal
• plnfexcq.fehlwuggm.kyxvb
• Xkeqoi.iochvm.vmyab

Comme d'autres menaces bancaires sur Android, FakeCall utilise les API des services d'accessibilité pour prendre le contrôle des appareils et mener des activités malveillantes. Il exploite ces API pour capturer des informations à l'écran et s'octroyer des autorisations supplémentaires si nécessaire.

Les capacités d'espionnage du malware sont étendues, lui permettant de collecter des données telles que des SMS, des contacts, des emplacements et des applications installées. Il peut également prendre des photos, enregistrer des flux en direct à partir des caméras avant et arrière, ajouter et supprimer des contacts, capturer des extraits audio, télécharger des images et simuler un flux vidéo en direct des actions de l'appareil à l'aide de l'API MediaProjection.

Les nouvelles tactiques sournoises du malware FakeCall

Les versions récemment découvertes du malware ont été améliorées pour surveiller à la fois l'état Bluetooth et l'activité de l'écran sur l'appareil. Cependant, ce qui accroît considérablement la menace est sa tactique consistant à demander à l'utilisateur de définir l'application comme numéroteur par défaut, ce qui lui permet de suivre et de manipuler tous les appels entrants et sortants.

Cet accès permet à FakeCall non seulement d'intercepter les appels, mais également de modifier les numéros composés. Par exemple, les appels destinés à une banque peuvent être redirigés vers des numéros malveillants sous le contrôle de l'attaquant, ce qui incite les victimes à entreprendre des actions non intentionnelles.

Les versions antérieures de FakeCall incitaient les utilisateurs à appeler leur banque via l'application elle-même, se faisant souvent passer pour diverses institutions financières et présentant de fausses offres de prêt avec des taux d'intérêt attractifs. Lorsqu'un utilisateur compromis tente d'appeler sa banque, le malware redirige l'appel vers un numéro frauduleux contrôlé par l'attaquant.

L'application menaçante trompe les utilisateurs avec une fausse interface convaincante qui ressemble à l'écran d'appel d'Android, affichant le véritable numéro de téléphone de la banque. Cette interface imitée rend l'utilisateur inconscient de la manipulation, ce qui permet aux attaquants de recueillir des informations sensibles ou d'obtenir un accès non autorisé aux comptes financiers de la victime.

Les pirates informatiques continuent de chercher des moyens de contourner les fonctions de sécurité

L’essor des techniques avancées de phishing (mishing) sur mobile souligne une réaction aux mesures de sécurité renforcées et à l’adoption généralisée des applications d’identification de l’appelant, conçues pour identifier les numéros suspects et alerter les utilisateurs d’un spam potentiel.

Récemment, Google a testé une initiative de sécurité qui empêche automatiquement le chargement latéral d'applications Android potentiellement dangereuses, y compris celles qui demandent des services d'accessibilité, dans des pays comme Singapour, la Thaïlande, le Brésil et l'Inde.