Novoice : 2,3 millions d'androids compromis par un malware insidieux
Une menace silencieuse a infiltréGoogle Play, infectant plus de 2,3 millions d'appareilsandroid. NoVoice, un malware particulièrement sophistiqué, s'est caché dans plus de 50 applications, allant de simples nettoyants à des galeries d'images en passant par des jeux populaires. Une désinfection massive est désormais nécessaire.
L'art de la dissimulation : un malware qui se fond dans le décor
Ce qui rend l'attaque de NoVoice particulièrement préoccupante, c'est sa capacité à se dissimuler. Les applications infectées offraient des fonctionnalités parfaitement légitimes et ne demandaient pas de permissions suspectes. La confiance des utilisateurs a été ainsi trahie, ouvrant la porte à une infection à grande échelle. La découverte a été faite par les chercheurs de McAfee, qui ont tenté d'identifier l'origine de cette offensive, sans succès pour l'instant.
Mais l'habileté de NoVoice ne s'arrête pas là. Ses composants malveillants s'intègrent avec une précision déconcertante dans le code légitime du SDK de Facebook, rendant leur détection extrêmement difficile. De plus, une charge utile cryptée se cache au sein d'images PNG grâce à l'esteganographie, une technique de dissimulation qui rend l'attaque encore plus sournoise. Une fois exécutée, la charge utile est extraite en mémoire, effaçant toute trace des fichiers intermédiaires utilisés.
Exploits, persistance et vol de données : la mécanique de l'attaque
McAfee a identifié pas moins de 22 exploits utilisés par NoVoice, exploitant des vulnérabilités anciennes d'android, incluant des erreurs de noyau et des failles dans les pilotes GPU Mali. Ces failles permettent aux attaquants d'obtenir un accès root (privilèges administrateur), de désactiver la sécurité SELinux et de remplacer des bibliothèques système critiques. La persistance du malware est également remarquable : il survit même à un réinitialisation d'usine, grâce à des scripts de récupération, le remplacement du gestionnaire de pannes système et le stockage de charges utiles dans la partition système.
Une fois la prise de contrôle établie, NoVoice injecte son code malveillant dans toutes les applications installées sur l'appareil, avec une attention particulière portée à WhatsApp. Le but ultime ? Voler des bases de données chiffrées, des clés du protocole Signal et des détails de compte. Cela permet aux attaquants de cloner des sessions WhatsApp sur d'autres appareils, ouvrant la voie à l'usurpation d'identité et au vol d'informations sensibles.
Google a rapidement retiré les applications malveillantes du Play Store suite à l'alerte de McAfee. Cependant, il est crucial que les utilisateurs ayant installé ces applications prennent conscience de la compromission potentielle de leurs appareils. La mise à jour vers les dernières versions d'android est la mesure la plus efficace pour atténuer cette menace, mais une analyse approfondie du système par un antivirus est fortement recommandée.
La sophistication de NoVoice souligne une réalité inquiétante : les cybercriminels ne cessent d'innover pour contourner les systèmes de sécurité. La vigilance et la mise à jour régulière des logiciels sont désormais plus que jamais des impératifs pour protéger nos données personnelles.