Une nouvelle version du malware Android RedHook marque une évolution préoccupante des menaces visant les smartphones. En détournant le Wireless Android Debug Bridge (ADB), un outil normalement réservé aux développeurs pour tester et déboguer leurs applications, les cybercriminels peuvent prendre discrètement le contrôle total d’un appareil, sans exploiter la moindre vulnérabilité logicielle.
Shane Barney, Chief Information Security Officer chez Keeper Security, alerte sur le fait que cette technique démontre les limites des mécanismes de sécurité traditionnels, comme l’authentification multifacteur (MFA), lorsque l’appareil lui-même est compromis.
Comment fonctionne l’attaque
En guidant la victime pour qu’elle active les autorisations d’accessibilité, puis en activant discrètement le Wireless ADB, le logiciel malveillant obtiendrait des privilèges de niveau shell sans jamais exploiter la moindre vulnérabilité. À partir de là, les identifiants bancaires deviendraient presque secondaires, l’attaquant contrôlant directement la session, les frappes au clavier et l’écran.
Les campagnes observées jusqu’à présent se concentrent au Vietnam et en Indonésie, mais la technique elle-même n’est pas spécifique à une région : elle exploite des fonctionnalités présentes sur tous les appareils Android, et non une faiblesse propre à une banque ou à un marché en particulier. Pour Keeper Security, les méthodes efficaces contre un marché donné restent rarement confinées à celui-ci, comme l’histoire des malwares ciblant les services bancaires mobiles l’a déjà démontré à plusieurs reprises.
Au-delà des applications bancaires
Selon Shane Barney, la sécurité des identités doit aller au-delà des identifiants eux-mêmes pour s’étendre à une vérification continue de la session et du terminal demandant l’accès, humain ou automatisé. Les techniques de persistance de RedHook — services qui se relancent, « wake-locks », activité invisible au premier plan — refléteraient un objectif de conception délibéré : rester résident suffisamment longtemps pour tirer pleinement parti de l’accès obtenu.
« La rapidité de détection est la variable qui détermine l’ampleur des dégâts, et de nombreuses organisations sont encore à la traîne par rapport aux attaquants sur ce point. Les organisations qui n’ont pas vérifié quels appareils personnels peuvent accéder aux systèmes d’entreprise, ou qui considèrent l’authentification multifactorielle comme la dernière ligne de défense plutôt que la première, sont déjà à la traîne. Le principe est simple : vérifier en continu, et pas seulement à l’entrée », résume Shane Barney.