Selon un rapport de l'entreprise de sécurité mobile Zimperium, un cheval de Troie pour Android dénommé GriftHorse a fait plus de 10 millions de victimes à travers plus de 70 pays dans le cadre d'une campagne d'attaque débutée en novembre 2020.
Le malware a été diffusé par l'entremise de plus de 200 applications Android dans 18 catégories différentes. Les applications malveillantes ont été initialement distribuées via le Google Play Store et des boutiques d'applications tierces.
Les applications infectées ont été retirées de Google Play, sachant que Zimperium est membre de l'App Defense Alliance de Google. À ce titre, Zimperium scanne les applications avant leur publication et fournit une analyse continue des applications Android dans le Google Play Store.
GriftHorse a donc été particulièrement bien dissimulé. La fausse application ayant généré le plus de téléchargements depuis Google Play a été Handy Translator Pro. Listées dans un billet de blog, les applications malveillantes sont toujours disponibles dans des stores alternatifs.
Avec l'installation d'une application malveillante, GriftHorse envoie massivement des alertes sur l'écran - à raison de 5 fois par heure - pour indiquer à l'utilisateur qu'il a gagné un cadeau. Le cas échéant, il est redirigé vers une page web afin de confirmer son numéro de téléphone. À son insu, il s'abonne à un service SMS premium facturé de l'ordre de 36 € par mois.
" Les cybercriminels ont pris grand soin de ne pas se faire prendre par les chercheurs de malwares en évitant de coder en dur les URL ou de réutiliser les mêmes domaines (ndlr : 194 domaines en tout), et en filtrant et délivrant la charge utile malveillante en fonction de la géolocalisation de l'adresse IP d'origine. Cette méthode a permis aux attaquants de cibler différents pays de différents manières ", écrit Zimperium.
Il est estimé que le montant total dérobé par les attaquants derrière GriftHorse pourrait s'élever à plusieurs centaines de milliers d'euros.
