Posté le avril 9, 2019 à 21:00

ANDROID ET IOS VULNERABLES AU LOGICIEL ESPION DES AUTORITÉS D’APPLICATION DE LA LOI ITALIENNE

SwB et Lookout découvrent des programmes malveillants Android et iOS qui sont créés à l’origine pour les gouvernements, ce qui laisse penser qu’ils pourraient constituer une attaque ciblée intelligente.

Les chercheurs de Security Without Borders ont d’abord découvert le logiciel malveillant et lui ont donné le nom «Exodus». Le package d’installation était fourni avec les fichiers de package Android (APK) sur des sites web d’hameçonnage célèbres. Toutefois, ce n’était pas le pire car Exodus a été trouvé plus tard dans un certain nombre d’applications qui étaient sur le Google Play Store. Entre temps, la société de sécurité mobile Lookout a découvert qu’il existait également des versions iOS d’Exodus.

Le logiciel espion italien se propage.

Exodus a été programmé par une société italienne appelée eSurv, d’après Security at Borders et Lookout. La société de sécurité italienne est connue du public pour ses logiciels de surveillance vidéo et ses systèmes de reconnaissance optique. Cependant, selon Security without Borders, la société italienne développe Exodus depuis au moins 2016.

La société italienne est considérée comme très largement financée. Lookout indique que ce financement est destiné à un logiciel de surveillance utilisé par les forces de l’ordre et des entités similaires à des fins offensives. Le logiciel malveillant présente certains signes qui laisse supposer qu’il est utilisé à ces fins. Ils notent que l’épinglage de certificat est l’un de ces signes. Un autre est le cryptage à clé publique à des fins de commande et de contrôle (CNC). Il existe également des restrictions géographiques permettant au logiciel de fonctionner uniquement dans les pays où les services répressifs peuvent intervenir.

Une autre entreprise italienne est aussi mentionnée dans les médias au cours des 18 derniers mois. Kaspersky a sonné la sonnette d’alarme sur Skygofree. Skygofree est un outil d’espionnage extrêmement complexe destiné aux téléphones Android. La firme utilisait des pages Web mystifiées pour propager les logiciels espions. Skygofree vole des données et dispose de plus de 48 commandes à distance différentes qu’il peut exécuter. Le logiciel peut être contrôlé via des messages texte ainsi que la messagerie cloud HTTP et FireBase. C’était similaire à Exodus, car il avait un code qui lui permettait de continuer à fonctionner même lorsque d’autres applications étaient arrêtées. Il continuerait à fonctionner même si le téléphone était en mode faible consommation.

Comment fonctionne Exodus.

Exodus fonctionne en trois phases. La première phase est la collecte de données à partir de l’application infectée. Il prend votre numéro de téléphone, votre numéro IMEI et d’autres détails pertinents. Ensuite il envoie à un serveur CNC qui envoie ensuite divers binaires au téléphone et suit les emplacements du téléphone.

La troisième phase de l’attaque utilise un exploit Linux appelé DirtyCOW. Cet exploit accorde à l’attaquant un accès root. Une fois que l’attaquant a un accès root, il peut faire ce qu’il veut avec votre appareil. Toutefois, cette vulnérabilité a été corrigée par Google dans l’écosystème Android . Ce correctif n’est plus utile sur les téléphones Android depuis 2016, ce qui donne une idée de l’ancienneté de ce logiciel et du temps durant lequel il a été utilisé. La faille fait partie de l’écosystème Linux depuis 2007.

Les chiffres sont douteux.

Le nombre de personnes supposément infectées va de quelques centaines à peut-être un millier. Un logiciel comme celui-ci serait capable d’infecter beaucoup plus de périphériques s’il était utilisé comme un outil grand public. Cela a amené les deux sociétés de sécurité, SwB et Lookout, à croire qu’il s’agissait d’une attaque ciblée réservée à des catégories de personnes. Le programme a été trouvé sur des sites Web très spécifiques et ne serait pas trouvé par un simple internaute.

Ce sont le nombre de sites web sur lesquels le logiciel a été distribué et la manière dont l’attaque a été conduit qui ont laissé croire aux experts du secteur qu’il s’agissait d’une opération secrète de collecte de renseignements.