Après avoir révélé des failles dans Flash Player et Internet Explorer, les documents volés à Hacking Team et diffusés sur internet révèlent un malware pour Android.
Plus les jours passent, plus on découvre la face cachée de l’entreprise italienne Hacking Team qui proposait des outils d’espionnages à différents clients étatiques. C’est d’autant plus inquiétant que les données piratées, puis publiées sur internet, révèlent au grand jour des failles qui peuvent parfaitement être exploitées par des personnes mal intentionnées.
Après la révélation de faille de sécurité dans Flash Player et Internet Explorer, la société Trend Micro annonce avoir repéré une application Android malveillante, capable de déjouer les contrôles de sécurité mis en place par Google pour s’infiltrer dans le Play Store.
Le code source de l’application malveillante découvert dans les données issues du piratage de Hacking Team était accompagné d’une documentation. Il aurait été vendu à des clients pour leur permettre de faire passer leurs logiciels malveillants à travers les mailles du filet.
Appelée BeNews, il s’agit d’une fausse application de nouvelles. L’application ne demande que trois permissions à l’utilisateur lors de son installation. Elle passe les contrôles de sécurité de Google parce qu’elle ne contient aucun exploit dans son code initial. C’est une fois qu’elle est installée que l’application télécharge et exécute le reste de son code y compris l’exploit, grâce à la technologie de chargement dynamique.
L’application a été téléchargée moins de 50 fois avant d’être retirée du Google Play le 7 juillet dernier.
La même technique a certainement été utilisée par d’autres logiciels.
Vu que le code source et la documentation associée sont sur internet, des personnes malveillantes pourraient parfaitement les utiliser pour concevoir des malwares. Le risque est donc très élevé.
Selon Trend Micro, le malware utilise une vulnérabilité d’élévation de privilèges dans Android, une faille qui concerne toutes les versions d’Android, de 2.2 Froyo à 4.4.4 KitKat.