L’application OpenVPN pour Android modifiée par des pirates pour faire de l’espionnage
Des chercheurs en sécurité ont mis en lumière une campagne de cyberespionnage opérée par un groupe nommé Bahamut, dont le but est de récupérer des informations sur les smartphones à partir d'applications VPN modifiées qui intègrent un logiciel espion. Faisons le point.
D'après les chercheurs en sécurité, notamment Lukas Stefanko de chez ESET, il s'agit d'une campagne très ciblée dont l'objectif principal est de récupérer des listes de contacts, d'appels, les messages (à partir de plusieurs applications comme Signal, Viber, WhatsApp, Telegram, et Facebook Messenger) ainsi que la localisation de l'appareil.
Pour cela, les pirates ont pris les applications VPN "SoftVPN" et "OpenVPN" pour Android, afin de les repackager avec du code malveillant qui est là pour ajouter des fonctions pour exfiltrer des informations de l'appareil. Au final, l'utilisateur obtient une application qui fonctionne puisque le client VPN reste opérationnel, mais il ignore que l'application est en train de siphonner ses données.
Ces applications n'étaient pas distribuées au travers du Google Play Store, ce qui indique aussi qu'il s'agit d'une campagne ciblée. A la place, les pirates ont mis en place de faux sites Web comme "thesecurevpn" dans le but de distribuer les packages APK d'installation de SoftVPN et OpenVPN. On peut imaginer que les cybercriminels ont mis en place une campagne de phishing et qu'ils ont utilisé les réseaux sociaux pour distribuer les applications malveillantes.
Le groupe Bahamut n'en est pas à sa première campagne malveillante puisque ces cybercriminels seraient actifs au moins depuis 2017. D'ailleurs, il y a des similitudes dans le code source des applications malveillantes utilisées dans ces différentes campagnes, notamment entre les apps SecureChat et SecureVPN. Dans le passé, les pirates de Bahamut ont ciblé des entités et des individus au Moyen-Orient et en Asie du Sud, mais d'après les spécialistes de la cybersécurité, ce groupe de cybercriminels opère dans le monde entier.
