GoldFactory clone des applications bancaires Android pour contourner les contrôles antifraude en Indonésie

Une campagne de fraude mobile visant l’Indonésie exploite les Work Profiles d’Android pour exécuter des applications bancaires clonées dans un environnement isolé, affaiblissant ainsi les contrôles de sécurité associés au profil principal du téléphone.

L’opération est attribuée à GoldFactory, un groupe de cybercriminels sinophones spécialisé dans les attaques mobiles à motivation financière. Une étude publiée le 9 septembre a recensé environ 1 469 appareils compromis et 1 281 identifiants potentiellement compromis en Indonésie entre février et juillet. Les pertes estimées approchaient le million de dollars.

La technique combine le cheval de Troie bancaire Android Gigabud avec Vwork, une application issue du projet open source de clonage d’applications Shelter. Ensemble, ces outils permettent aux attaquants d’accéder à distance au téléphone de la victime et à un environnement distinct depuis lequel ils peuvent exécuter des transactions bancaires frauduleuses.

Près d’un million de dollars de pertes estimées en Indonésie

Les chiffres recensés montrent que la campagne a dépassé le stade de l’expérimentation. Des centaines de sessions bancaires potentiellement exposées ont été associées à des infections confirmées, entraînant des conséquences financières directes pour les utilisateurs indonésiens.

L’Indonésie constitue une cible importante pour les opérateurs de fraude mobile, car les téléphones Android, les applications bancaires, les paiements numériques et les plateformes de messagerie y sont largement utilisés. Les contenus d’ingénierie sociale peuvent également être adaptés aux services que les victimes connaissent déjà.

GoldFactory a déjà adapté ses campagnes d’usurpation à certains pays et établissements. Les thèmes utilisés ont notamment porté sur des compagnies aériennes nationales, des autorités fiscales et des sites gouvernementaux, afin de donner aux applications malveillantes une apparence pertinente pour leurs victimes potentielles.

Dans un cas observé en Indonésie, les enquêteurs ont identifié une copie frauduleuse de l’application d’une banque locale légitime comme application utilisée dans le processus de clonage. Le nom de la banque, les versions concernées de l’application et les versions d’Android pertinentes n’ont pas été communiqués.

Aucune faille logicielle ni aucun correctif associé à cette campagne n’a été identifié. Les attaquants combinent plutôt des permissions malveillantes, un contrôle à distance et une fonction légitime d’isolation d’Android. La détection des comportements et le contrôle de l’installation des applications revêtent donc une importance particulière.

Gigabud prend le contrôle avant que Vwork ne crée le clone

Actif depuis 2022, le cheval de Troie bancaire Android Gigabud fournit le point d’accès initial. Ses opérateurs tentent de convaincre la victime d’installer le malware et d’accorder de puissantes permissions Android, en particulier l’accès aux services d’accessibilité.

Une fois ces permissions obtenues, Gigabud peut inventorier le téléphone et permettre son contrôle à distance en temps réel. Les privilèges d’accessibilité peuvent permettre au malware d’observer le contenu de l’interface, d’interagir avec les applications et d’automatiser des actions qui nécessiteraient autrement l’intervention de l’utilisateur.

Vwork est ensuite installé, souvent quelques minutes seulement après l’infection initiale par Gigabud. Il ne dispose pas de son propre canal de commande et de contrôle. Gigabud sert de relais de communication, reçoit les instructions de l’opérateur et les transmet à Vwork.

La séquence d’attaque qui en résulte comporte six étapes principales :

1. Gigabud est installé sur l’appareil Android.
2. La victime accorde l’accès aux services d’accessibilité ainsi que les autres permissions demandées.
3. Gigabud examine l’appareil et installe Vwork.
4. Vwork crée un Work Profile Android.
5. Une application bancaire est reproduite dans ce profil.
6. L’attaquant contrôle à distance l’application clonée et lance des transactions.

Pendant les opérations à distance, le malware peut afficher un écran noir à la victime. Celle-ci peut donc ne voir aucun signe évident indiquant que son téléphone est contrôlé ou que l’application bancaire est active.

L’isolation du Work Profile crée un angle mort pour la détection des fraudes

Les Work Profiles Android sont conçus pour séparer les applications et les données gérées par une entreprise de l’environnement personnel de l’utilisateur. Dans un déploiement légitime, un employeur ou un système de gestion des appareils utilise cette séparation pour protéger les ressources de l’entreprise.

GoldFactory transforme cette même séparation en mécanisme de contournement.

Un produit de sécurité peut détecter Gigabud ou un comportement suspect dans le profil personnel et attribuer un niveau de risque à l’instance de l’application qui y opère. Lorsque Vwork crée un autre profil, l’application bancaire clonée bénéficie toutefois d’un contexte distinct.

Les contrôles qui associent le risque uniquement à l’instance d’origine, au profil personnel ou à l’environnement précédemment observé peuvent ne pas transmettre l’alerte au Work Profile. Pour une banque, l’activité du clone peut alors ressembler à un accès provenant d’un appareil nouveau ou d’un contexte sans lien avec le précédent.

Cette rupture de corrélation est importante, car la transaction frauduleuse provient toujours du téléphone physique de la victime. L’attaquant peut utiliser l’environnement bancaire installé par la victime, ses identifiants ou sa session active, tout en exploitant la séparation des profils pour affaiblir le lien entre l’alerte déclenchée par le malware et la tentative ultérieure de retrait des fonds.

Il ne s’agit pas d’un contournement universel de la sécurité d’Android ou des systèmes bancaires. Son efficacité dépend de la manière dont une banque, une application de sécurité ou une plateforme antifraude associe les données de télémétrie entre les profils et les instances d’application. Les détails techniques concernant l’exposition de banques particulières n’ont pas été rendus publics.

Des échantillons compatibles avec Gigabud dépassent les frontières de l’Indonésie

L’Indonésie est une cible initiale importante, mais le malware associé possède une empreinte géographique bien plus large. Les enquêteurs ont identifié au Brésil, en Colombie, en Égypte, en Indonésie, au Laos, au Mexique, au Maroc, aux Philippines, en Thaïlande et en Turquie des échantillons de Gigabud compatibles avec la technique de Vwork.

Un échantillon compatible a également été découvert dans un membre non identifié du Conseil de coopération du Golfe. Plus largement, l’activité de Gigabud a été observée en Asie du Sud-Est, en Asie du Sud, au Moyen-Orient, en Afrique et en Amérique latine.

La présence d’un malware compatible ne permet pas d’établir le nombre d’attaques Vwork réussies dans chaque pays. Elle ne confirme pas non plus que chaque infection par Gigabud a utilisé le clonage via un Work Profile. Elle indique toutefois que la technique pourrait être déployée en dehors de l’Indonésie sans nécessiter la création d’une nouvelle plateforme malveillante.

Une autre menace Android touche également le marché indonésien. L’équipe zLabs de Zimperium a publié le 9 septembre des informations sur Mantax Otax, un cheval de Troie bancaire agressif doté de capacités d’espionnage, associé à des acteurs et à des victimes indonésiens.

Aucun lien opérationnel entre Mantax Otax et GoldFactory n’a été établi. Cette activité simultanée montre plutôt que les utilisateurs indonésiens sont confrontés à plusieurs opérations de malware financier Android menées par des opérateurs et au moyen d’outils différents, selon les informations consacrées à la campagne de clonage d’applications.

Un Work Profile inattendu constitue le signal d’alerte le plus évident

Pour un utilisateur dont le téléphone n’a jamais été configuré par un employeur, l’apparition inexpliquée d’un Work Profile doit inciter à vérifier l’appareil. Le profil est particulièrement suspect s’il apparaît peu après l’installation d’une application inconnue.

Les autres signes d’alerte comprennent notamment :

• La même application bancaire qui apparaît à la fois dans l’espace personnel et dans le Work Profile.
• Des privilèges d’accessibilité accordés à une application qui n’en a aucun besoin légitime.
• Des applications installées depuis des sources non officielles, trompeuses ou autrement non fiables.
• Une application inconnue telle que Vwork qui apparaît peu après une autre installation.
• Un écran noir ou une perte inhabituelle du contrôle alors que le téléphone reste actif.
• Un accès bancaire associé à un profil nouvellement créé ou à un contexte d’appareil anormal.

L’absence de ces signes visibles ne prouve pas qu’un appareil est sain. Certaines activités peuvent se dérouler lorsque la victime est distraite, et une application en double peut passer inaperçue sans vérification des profils et des paramètres des applications du téléphone.

Toute personne qui découvre un Work Profile inexpliqué ou une application bancaire en double doit cesser d’utiliser l’appareil concerné pour effectuer des transactions financières et contacter sa banque par un canal de confiance. Les identifiants et les sessions peuvent déjà être exposés. Il convient également de vérifier que des permissions d’accessibilité n’ont pas été accordées sans autorisation et d’examiner les applications installées récemment.

Les banques doivent corréler les risques entre les profils Android

Les banques et les fournisseurs de solutions de sécurité mobile ne peuvent pas partir du principe qu’un téléphone physique correspond à un seul environnement applicatif. Les systèmes de détection doivent relier les signaux de risque entre les profils personnels et les Work Profiles, les installations d’applications en double et les contextes d’appareil nouvellement créés.

Une séquence au cours de laquelle une application inconnue obtient l’accès aux services d’accessibilité, une autre application apparaît quelques minutes plus tard et un Work Profile est créé doit faire l’objet d’une analyse approfondie. Il en va de même lorsqu’une application bancaire se met soudainement à fonctionner depuis un profil qui ne possède aucun historique sur l’appareil.

Les défenseurs doivent également rechercher les incohérences entre l’environnement habituel de l’utilisateur et le contexte d’une transaction. Une nouvelle instance d’application ne doit pas automatiquement être considérée comme indépendante lorsque l’appareil physique ou les données de télémétrie associées indiquent une infection existante.

La méthode de GoldFactory fonctionne en séparant des événements que les systèmes de sécurité peuvent évaluer indépendamment : l’installation du malware dans un profil et l’activité bancaire dans un autre. Rétablir le lien entre ces événements est essentiel pour détecter la fraude avant que l’argent ne quitte le compte.