Applications malveillantes VexTrio Viper

L'évolution constante du paysage de la cybercriminalité a une fois de plus mis en lumière le nom de VexTrio Viper. Ce groupe publicitaire malveillant a été surpris en train d'infiltrer des boutiques d'applications légitimes, de manipuler les utilisateurs et de diriger une vaste entreprise criminelle dissimulée derrière des tactiques numériques sophistiquées.

Déguisées en aide : des applications malveillantes à la vue de tous

VexTrio Viper a lancé avec succès plusieurs applications frauduleuses sur l'App Store d'Apple et le Play Store de Google. Ces applications se font passer pour des outils utiles tels que des VPN, des boosters de RAM, des plateformes de rencontre, des bloqueurs de spam ou des utilitaires de surveillance. Cachées derrière des noms de développeurs apparemment fiables comme HolaCode, LocoMind, Hugmi, Klover Group et AlphaScale Media, ces applications ont été téléchargées des millions de fois.

Une fois installées, ces applications :

• Forcer les utilisateurs à souscrire à des abonnements coûteux et difficiles à annuler.
• Bombardez les utilisateurs avec des publicités intrusives.
• Récoltez des informations personnelles telles que des adresses e-mail.

Un exemple notable est l'application de blocage Spam Shield, qui prétend bloquer les spams de notifications push, mais incite en réalité les utilisateurs à s'inscrire à des frais récurrents coûteux.

Les plaintes des utilisateurs révèlent la tromperie

Les témoignages de victimes sur ces applications révèlent l'ampleur de l'exploitation des utilisateurs. De nombreux utilisateurs citent des modèles de tarification trompeurs et des tactiques d'abonnement prédatrices :

« Il demande immédiatement de l'argent, et si vous ne le faites pas, les publicités sont si perturbatrices que je l'ai désinstallé avant même de pouvoir l'essayer. »

« Cette application est censée coûter 14,99 $ par mois. En février, j'ai été facturé 14,99 $ par semaine, soit 70 $ par mois ! Et je ne peux pas la désinstaller. Ils espèrent que vous ne le remarquerez pas, sinon il sera trop tard pour un remboursement. »

Ce ne sont là que quelques-uns des nombreux signaux d’alarme confirmant que les applications sont des véhicules de fraude.

Une opération criminelle mondiale dans l’ombre

VexTrio Viper ne se limite pas aux applications malveillantes. Le groupe fait partie d'une infrastructure criminelle multinationale plus vaste, active depuis au moins 2015. Ses opérations englobent :

Systèmes de distribution du trafic (TDS) : utilisés pour rediriger de vastes volumes de trafic Web vers des pages frauduleuses.

Réseaux d'affiliation : Agissant comme intermédiaires entre les distributeurs de logiciels malveillants et les annonceurs frauduleux.

Outils favorisant la fraude : traitement des paiements via des services comme Pay Salsa et validation des e-mails à l'aide de DataSnap.

Cette structure permet à VexTrio de fonctionner à la fois comme un affilié de publication (infectant des sites Web légitimes) et comme un affilié publicitaire (exécutant des escroqueries telles que de faux tirages au sort ou des fraudes cryptographiques).

Sociétés écrans et expansion transfrontalière

Le système TDS du groupe semble être exploité par une société écran appelée AdsPro Group, dont les principaux acteurs sont basés en Italie, en Biélorussie et en Russie. L'opération s'est ensuite étendue à des pays comme la Bulgarie, la Moldavie, la Roumanie, l'Estonie et la République tchèque, reliant VexTrio à plus de 100 entreprises et marques.

Ce qui est particulièrement troublant, c’est la manière dont VexTrio et ses partenaires sont profondément ancrés dans l’industrie malveillante des technologies publicitaires, un écosystème où la cybercriminalité comme le vol d’identité, les escroqueries à l’investissement et la collecte de données peuvent prospérer pratiquement inaperçus.

Contrôle total : des éditeurs aux annonceurs

Ce qui distingue VexTrio, c'est sa maîtrise des deux côtés de la chaîne du marketing d'affiliation. Grâce à des entreprises comme Teknology, Los Pollos, Taco Loco et Adtrafico, ils :

• Exécutez des liens intelligents masqués pour masquer les pages de destination frauduleuses.
• Utilisez des services de camouflage comme IMKLO pour diffuser un contenu différent en fonction de l'emplacement, de l'appareil ou du navigateur de la victime.
• Exploitez des réseaux CPA (coût par action), permettant aux partenaires de gagner de l'argent grâce aux actions des utilisateurs telles que l'activation des notifications, le partage d'informations personnelles ou le téléchargement d'applications frauduleuses.

En mai 2024, Los Pollos prétendait gérer 200 000 affiliés et plus de 2 milliards d'utilisateurs uniques par mois, démontrant ainsi l'ampleur de la portée numérique de VexTrio.

Deux tactiques principales utilisées

Déploiement d'applications trompeuses
VexTrio propose des applications qui semblent être des outils authentiques, comme des VPN ou des nettoyeurs de système, mais qui sont en réalité malveillantes. Ces applications incitent les utilisateurs à s'abonner à des services coûteux, collectent des données personnelles et les submergent de publicités intrusives.

Redirection d'escroquerie basée sur l'affiliation
En exploitant des liens intelligents masqués, VexTrio redirige le trafic de sites web compromis mais légitimes vers des pages de destination frauduleuses. Ce système s'appuie sur un vaste réseau d'affiliés qui profitent de chaque interaction des utilisateurs avec ces arnaques, que ce soit en saisissant des informations personnelles, en activant des notifications ou en téléchargeant de fausses applications.

Un avertissement pour l’avenir

VexTrio Viper est emblématique d'une menace croissante, qui combine la portée des plateformes numériques légitimes avec la ruse de la cybercriminalité organisée. Tant que ces acteurs continueront de dissimuler leurs activités derrière des réseaux d'affiliation et des référencements trompeurs sur les App Stores, des millions d'utilisateurs resteront en danger.

La vigilance est essentielle. Les utilisateurs doivent rester sceptiques face aux applications promettant trop, examiner attentivement les modèles d'abonnement et éviter de partager des informations sensibles sans vérification préalable.