La sécurité :
un monde de
possibilités pour
l’entreprise
Rapport sur
la sécurité
RAPPORT SUR LA MOBILITÉ ET
LES LOGICIELS MALVEILLANTS
BLUE COAT SYSTEMS 2014
Un nouveau regard sur les anciennes menaces
2
Logiciels malveillants mobiles : Un nouveau regard sur les anciennes menaces
Les équipements mobiles ont fondamentalement changé la
manière dont nous travaillons, vivons et jouons ; pourtant,
ironiquement, les pièges employés par les cybercriminels
pour installer des logiciels malveillants ou des applications au
comportement obscur sont les mêmes que ceux utilisés depuis
des années. En réalité, le vieil adage s’applique : ne touchons
pas à ce qui fonctionne.
Malgré une augmentation significative du nombre d’équipements
mobiles utilisés, les menaces mobiles restent limitées aux
attaques par ingénierie sociale, qui se contentent de tendre
un piège au consommateur pour qu’il accepte ce que propose
le cybercriminel. Blue Coat Security Lab n’a pas encore
rencontré de type de logiciel malveillant capable de déjouer
fondamentalement le modèle de sécurité du téléphone.
Les menaces mobiles les plus prolifiques sont les spam, les liens
empoisonnés sur les sites de réseaux sociaux et les fausses
applications. Le fait que ces menaces soient d’ingénierie sociale
signifie que le comportement de l’utilisateur est essentiel pour
identifier le lieu possible des attaques (sites de réseaux sociaux,
par exemple) et comprendre leur éventuelle évolution.
En outre, les différents chevaux de Troie mobiles, capables
de voler des données, peuvent opérer soit sur le réseau
téléphonique mobile, soit sur un réseau Wi-Fi connecté,
quel qu’il soit. Lorsque ces applications transmettent leurs
informations sur les réseaux téléphoniques mobiles plutôt que
via les réseaux professionnels, les entreprises se retrouvent alors
confrontées à d’importantes lacunes en matière d’informations
sur la santé de leurs terminaux.
Rapport de 2014 sur la mobilité et les logiciels malveillants
LES ÉQUIPEMENTS
MOBILES RESTENT
EN GRANDE PARTIE
À L’ABRI DES
TÉLÉCHARGEMENTS
FURTIFS
3
L’absence d’économie clandestine a un impact sur les logiciels
malveillants mobiles
On peut difficilement dire que le marché de l’informatique mobile est en train de dépasser
le traditionnel marché des PC, qui inclut les ordinateurs portables et de bureau. Selon le
service de recherche BI Intelligence, fin 2013, 6 % de la population mondiale possédaient
une tablette et 22 % un smartphone. En comparaison, 20 % possèdent un ordinateur.
Étant donné la prolifération des équipements et les quelque 1,5 milliards de nouvelles
manières de voler des données, des mots de passe ou de l’argent, il est peut-être
surprenant que le problème des logiciels malveillants mobiles ne soit pas plus répandu.
Cette relative sécurité par rapport à la vague de logiciels malveillants destinés aux marchés
de masse à laquelle les utilisateurs d’ordinateurs font face est partiellement due à l’absence
d’économie clandestine cohésive.
Au cours de ces dernières années, les logiciels malveillants destinés au grand public se
sont transformés en une économie robuste très active, bien qu’illégale. Les cybercriminels
peuvent acheter des kits d’intrusion, voire même de nouvelles vulnérabilités sur le marché
(noir) ouvert. Ils peuvent louer des botnets et vendre les données qu’ils volent, et ils sont
même protégés par des accords de niveau de service. Comme les autres économies de
marché, celle des logiciels malveillants destinés aux marchés de masse est soumise aux lois
de l’offre et de la demande. Par exemple, lorsque le kit d’intrusion Blackhole a été neutralisé
l’an dernier, le prix du kit d’intrusion Magnitude est monté en flèche.
Dans le monde mobile, rien ne ressemble au même type d’économie de kits d’intrusion bien
développée. Cela signifie qu’il n’existe pas de kits d’intrusion immédiatement disponibles
dont les vulnérabilités ont été banalisées et rendues plus faciles à utiliser, comme cela
existe dans le monde Windows. Par conséquent, les équipements mobiles restent encore en
grande partie à l’abri des téléchargements furtifs qui installent subrepticement des logiciels
malveillants sans que le consommateur s’en rende compte.
Les différentes étapes d’une attaque mobile
Les types d’attaque mobile courants sont ceux qui nécessitent l’interaction des utilisateurs :
qu’ils changent leurs paramètres de sécurité, qu’ils téléchargent une application ou qu’ils
confient le contrôle de leur équipement à un tiers. Ce caractère social reste la principale
manière pour les cybercriminels d’amener l’utilisateur à prendre des décisions dangereuses
mettant son équipement en danger.
Blue Coat n’a pas constaté d’utilisation répandue de méthodes ou de kits d’intrusion ne
nécessitant pas l’interaction de l’utilisateur pour infecter des équipements Android avec des
APK malveillants. Typiquement, les utilisateurs sont invités fortement, en utilisant des techniques
d’ingénierie sociale, à désactiver l’option restrictive « sources inconnues » dans Android qui
limite l’installation d’applications provenant de sources autres que le Google Play store.
Nous constatons qu’un certain nombre d’applications malveillantes proviennent de
sites Web pornographiques présentant un composant mobile. Un grand nombre de ces sites
comportent un lien qui permet aux utilisateurs de télécharger l’application, qui, dans certains
cas contient des composants SMSbot malveillants enfouis au sein du code exécutant les
fonctions APK déclarées.
Nous avons également assisté à la croissance d’un certain nombre de faux « produits »
antivirus Android vantés sur des réseaux d’annonces publicitaires ou à l’utilisation de scripts
sur des sites Web mobiles pour les promouvoir via des fenêtres contextuelles apparaissant
sur le navigateur mobile. La menace s’appuie sur la propre crédulité de l’utilisateur, le
conduisant à suivre des instructions assez complexes et à modifier le profil de sécurité de
son équipement mobile au détriment de ce dernier.
Méthode avérée servant de gagne-pain aux attaques de logiciels malveillants destinés
au grand public depuis des années (comme les faux antivirus), ces types de canular sont
maintenant en train d’être adaptés avec succès aux équipements mobiles. Lors d’une
récente attaque repérée par Blue Coat Security Lab, une publicité mobile servait de
première étape à une attaque par ingénierie sociale en quatre étapes (figure 1) :
• Étape 1 : Une publicité mobile de security.alert.us, service apparemment légitime,
informe le consommateur qu’il a un virus et l’invite à cliquer sur le bouton « OK » pour
le supprimer.
• Étape 2 : Un avertissement Android apparaît dans une fenêtre contextuelle, invitant
l’utilisateur à supprimer le virus.
• Étape 3 : Il s’agit d’une attaque par ingénierie sociale classique à l’aide d’un faux scan
antivirus. Cette méthode est utilisée depuis des années pour cibler les utilisateurs
d’ordinateurs portables et de bureau : un « scan » est effectué et renvoie des informations
sur le prétendu virus, notamment des détails sur son comportement malveillant (dans
ce cas, le vol de mots de passe et d’informations de carte de crédit). Il invite l’utilisateur
à « Installer dès maintenant l’application ».
• Étape 4 : Une fois le fichier téléchargé, une fenêtre invite l’utilisateur à modifier le
paramètre d’installation d’applications tierces dans Paramètres, défini par défaut sur
un mode qui empêche le téléchargement d’applications provenant d’autres sites que la
place de marché Google Play, car susceptibles d’héberger des applications douteuses
ou malveillantes non vérifiées.
Rapport de 2014 sur la mobilité et les logiciels malveillants
4
Le comportement des utilisateurs est ce qui entretient la présence des
menaces mobiles
La compréhension du comportement des utilisateurs sur leur équipement mobile devient
alors essentielle pour savoir où ils risquent d’être en danger.
Si l’on compare leur comportement sur un ordinateur à leur comportement sur un
équipement mobile, quelques distinctions essentielles apparaissent. En tout premier lieu,
l’utilisation des réseaux sociaux sur ordinateur portable ou de bureau continue à diminuer.
En revanche, cette activité a été transférée aux équipements mobiles.
Rapport de 2014 sur la mobilité et les logiciels malveillants
UNE FOIS
SUR CINQ, UN
UTILISATEUR
DIRIGÉ VERS
UN LOGICIEL
MALVEILLANT
L’EST VIA UNE
PUBLICITÉ WEB
1 2
34
Figure 1 : Publicités mobiles mettant en garde contre des virus
5
Cette situation est représentative de l’intégration
de l’équipement mobile au mode de vie du
consommateur. Parmi les quinze principales
catégories de contenu le plus demandé par les
utilisateurs mobiles, les catégories récréatives
(achats, divertissements, sports/loisirs) occupent
une place importante (11,74 % de l’ensemble
du contenu demandé). Pour les utilisateurs
d’ordinateurs de bureau, le contenu récréatif
(achats, divertissements, jeux) ne représente
que 6,69 % (figure 2).
Les commerçants devraient accorder davantage
d’attention à cette tendance en faveur du
comportement récréatif, en particulier en ce
qui concerne les achats. Avec plus de 7 % de
l’ensemble des activités mobiles, les achats sur
terminaux mobiles représentent la cinquième
activité la plus populaire. À mesure que les
commerçants s’intéressent à des expériences
client de nouvelle génération, plus sociales,
localisées et mobiles, cette activité ne peut
qu’augmenter.
Les appareils mobiles ouvrent également la voie
vers de nombreuses nouvelles opportunités,
comme les bons d’achat ciblés lorsque les
consommateurs se trouvent dans le magasin
et cliquent, et des méthodes d’unification de la
présence en ligne et dans le magasin. Tout ceci
va continuer à augmenter l’importance des achats
en tant que catégorie, et à en faire éventuellement
une cible pour les cybercriminels à la recherche de
lieux prisés pour cibler des consommateurs qui ne
se doutent de rien.
Les utilisateurs mobiles reçoivent de plus en
plus d’annonces publicitaires, même davantage
que les utilisateurs d’ordinateurs, à mesure que
les sites continuent à affiner leurs stratégies
publicitaires mobiles. Cette tendance est
particulièrement préoccupante, car elle coïncide
avec une augmentation significative des publicités
malveillantes.
Même si les utilisateurs mobiles ne sont pas
encore victimes des mêmes téléchargements
furtifs que les utilisateurs d’ordinateurs, les
publicités mobiles sont de plus en plus utilisées
dans le cadre d’attaques par ingénierie sociale
(comme nous l’avons vu dans l’exemple
ci‑dessus). La fréquence accrue des publicités
mobiles conduit les utilisateurs à les considérer
comme normales, ce qui les rend plus vulnérables
aux attaques lancées via des publicités.
L’une des plus grandes différences de
comportement entre les utilisateurs d’ordinateurs
et les utilisateurs d’appareils mobiles indique
également pourquoi cela est important : Pour les
utilisateurs d’ordinateurs, le visionnage de clips
audio/vidéo représente plus de 7 % de l’ensemble
de l’activité Internet. Pour les utilisateurs de
terminaux mobiles, cela ne représente qu’un
peu plus de 1 %. Cela ne signifie pas que les
utilisateurs mobiles ne regardent pas de clips
vidéo, mais qu’ils le font via des applications vidéo
de marques comme YouTube et Hulu.
En conséquence de cette préférence de
visionnage vidéo, les faux codecs vidéo, très
courants sur les ordinateurs il y a cinq ans, sont,
selon Blue Coat Security Lab, peu susceptibles
d’être transférés aux équipements mobiles.
Conseil pratique
Évitez de cliquer sur des publicités sur votre
équipement mobile.
Rapport de 2014 sur la mobilité et les logiciels malveillants
Utilisateurs d'ordinateurs
de bureau/portables
Utilisateurs
d’appareils mobiles
Moteurs de recherche/
Portails
Contenu mixte/Adulte—
Autre—
Réseaux sociaux—
Pubs Web/Analytique—
Technologie/Internet—
Moteurs de recherche/
Portails
—Pubs Web/Analytique
—Autre
—Achats
—Réseaux sociaux
—Serveurs de contenu
19,96%
11,45%
9,62%
8,47%
8,42%
42,08%
14,91%
14,65%
12,75%
11,51%
7,48%
38,70%
—
—
Figure 2 : Comparaison des demandes entre utilisateurs
d’ordinateurs et utilisateurs d’appareils mobiles
CINQ PRINCIPALES CATÉGORIES DE DEMANDE
Comparaison entre utilisateurs d’ordinateurs de bureau et utilisateurs
d’appareils mobiles
6
Les publicités malveillantes dépassent la pornographie comme principal vecteur
de menaces
Souvent, Internet se présente très différemment sur appareil mobile. Les écrans, plus petits,
et les méthodes de saisie de texte, moins conviviales, ont transformé la manière dont nous
accédons au contenu en ligne et dont nous l’affichons. Il n’est donc pas surprenant que cela
change également la manière dont nous sommes exposés au contenu malveillant.
Pour les utilisateurs d’ordinateurs de bureau, l’empoisonnement des moteurs de recherche
et les liens e-mail sont de loin les vecteurs les plus importants exposant les utilisateurs
aux menaces et au contenu malveillant. En revanche, en ce qui concerne les utilisateurs
mobiles, la situation est toute autre. Les moteurs de recherche entrent difficilement parmi les
10 premiers vecteurs d’attaque, dirigeant les utilisateurs qui ne se doutent de rien vers des
logiciels malveillants seulement 3,13 % du temps.
Les publicités Web, par contre, ont même dépassé la pornographie. En février 2014, elles
représentaient l’unique plus gros vecteur de menaces pour les utilisateurs mobiles : une fois
sur cinq, lorsqu’un utilisateur est dirigé vers un logiciel malveillant, c’est par le biais d’une
publicité Web. Cette valeur a presque triplé par rapport à novembre 2012.
Rapport de 2014 sur la mobilité et les logiciels malveillants
L’ABSENCE DE
TRANSPARENCE SUR
LE COMPORTEMENT
DES APPLICATIONS
POSE LES BASES
D’UNE MAUVAISE
GESTION PAR LES
UTILISATEURS EN
LES EXPOSANT À UN
RISQUE SUPÉRIEUR
DE VIOLATION DE LA
VIE PRIVÉE ET DE LA
CONFIDENTIALITÉ
Novembre 2012 Février 2014
Pornographie - 22,16%—
Suspicieux - 14,09%—
Autre - 37,82%—
Moteurs de recherche/ - 3,69%—
Portails
Non classé - 4,30%—
Divertissements - 4,99%—
Publicités Web - 5,69%—
Ordinateurs/Internet - 7,26%—
—19,69% - Pubs Web/Analytique
—16,68% - Suspicieux
—31,57% - Autre
—3,43% - Divertissements
—3,79% - Clips audio/vidéo
—4,10% - Non classé
Contenu mixte/
—4,19% - Potentiellement adulte
—16,55% - Pornographie
Figure 3 : Évolution
du comportement des
utilisateurs mobiles
PRINCIPAUX VECTEURS DE MENACES
Évolution du comportement en environnement mobile
7
La transformation des publicités malveillantes (publicités Web diffusées sur des réseaux
d’annonces publicitaires légitimes qui dirigent les utilisateurs vers des sites malveillants ou
qui contiennent du code malveillant) en principal vecteur d’attaques est proportionnelle à
l’augmentation du trafic publicitaire Web sur les équipements mobiles. Il s’agit d’un réseau
très peu réglementé de serveurs d’annonces publicitaires qui peuvent facilement être
exploités afin de diffuser des publicités malveillantes sans le savoir.
Quelle différence en une année. L’an dernier, lorsque Blue Coat Security Lab analysait
le paysage des logiciels malveillants mobiles, la pornographie était le principal vecteur
de menaces pour les utilisateurs mobiles. Cette année, elle a perdu près de six points et
est devenue le troisième principal vecteur de menaces, dirigeant les utilisateurs vers des
logiciels malveillants 16 % du temps (figure 3).
Néanmoins, la pornographie reste la catégorie de contenu la plus dangereuse pour
les utilisateurs mobiles. L’évolution des publicités Web en vecteur de menaces est
proportionnelle à l’augmentation des requêtes autour des publicités Web. Il en est tout
autrement pour la pornographie. Les demandes de contenu pornographique sur les
équipements mobiles n’atteignent même pas 1 % de l’ensemble du contenu demandé ;
pourtant, la pornographie représente plus de 16 % de l’ensemble des attaques. Ainsi,
même si les utilisateurs n’accèdent pas si fréquemment à du contenu pornographique,
quand ils le font, ils sont très exposés aux logiciels malveillants.
Meilleures pratiques
• Évitez tout contenu pornographique sur votre équipement mobile.
• Envisagez de bloquer les publicités Web comme catégorie de contenu.
Réseaux malveillants mobiles : Un secteur en plein apprentissage
Blue Coat Security Lab n’a pas encore constaté de
véritable engagement dans les logiciels malveillants
mobiles chez les principaux réseaux malveillants qu’il
suit de près. Shnakule, qui est régulièrement classé
comme le plus gros réseau malveillant du monde, n’en
est qu’à ses début en matière de logiciels malveillants
mobiles, avec une préférence pour les canulars de
SMS surtaxés. Des réseaux malveillants beaucoup
plus petits (trop petits même pour être nommés)
apparaissent de temps en temps. Il se peut que le
comportement que nous constatons chez les réseaux
malveillants s’avère une tentative de trouver des
vulnérabilités et d’adapter les infrastructures à ces
environnements mobiles.
Surpartage d’applications :
Applications potentiellement indésirables et menace de la confidentialité et de
la vie privée
Les menaces de logiciels malveillants ciblant les appareils mobiles restent encore
relativement basiques, et en grande partie confinées aux applications potentiellement
indésirables et aux canulars de SMS surtaxés.
Les applications potentiellement indésirables, ou PUA (Potentially Unwanted Applications),
sont de simples applications, généralement déguisées de sorte à paraître intéressantes,
comme le tout dernier jeu sur mobile à la mode, qui suivent le comportement de l’utilisateur
ou partage ses informations personnelles.
Parmi les types de données suivis figurent les lignes d’identification à la demande, qui
identifient le système d’exploitation mobile, sa version, le type de navigateur installé et sa
version, et (suivant l’application) des informations supplémentaires sur l’application mobile
exécutée par l’utilisateur. En outre, le trafic HTTP généré par le navigateur de l’équipement
mobile ou par les services publicitaires mobiles peut révéler les habitudes, les centres
d’intérêt ou les recherches de l’utilisateur de l’équipement mobile.
De nombreuses applications intègrent également des outils analytiques permettant
d’identifier les bogues ou simplement de donner des informations sur l’utilisation de
l’application. Ces outils peuvent divulguer le numéro de téléphone du terminal mobile et
le code IMEI unique de la carte SIM ainsi que les relations entre le propriétaire de l’appareil
et les contacts favoris du répertoire d’adresses.
Les outils analytiques intégrés aux applications sont également capables, suivant la
manière dont le développeur les a configurés, de révéler quasiment tous les aspects du
comportement de l’utilisateur au sein de l’application, de la pression sur les touches aux
scores élevés de « partages » avec des amis sur les médias sociaux ou les tableaux de
classement en ligne.
La plupart de ces activités sont inconnues de l’utilisateur et présentent un risque de fuite
de ses données. Chez les développeurs, l’absence d’exigences claires leur demandant
d’identifier explicitement les données auxquelles leurs applications accèdent, sur lesquelles
elles peuvent créer des rapports, et qu’elles peuvent enregistrer et partager, complique la
prise de décisions de la part des utilisateurs en matière de risques concernant la manière
dont ils utilisent leur appareil.
L’absence de transparence sur le comportement des applications pose les bases d’une
mauvaise gestion par les utilisateurs en les exposant à un risque supérieur de violation de la
vie privée et de la confidentialité. Il est également impossible pour les utilisateurs de prendre
des décisions en matière de risques concernant les applications qu’ils souhaitent utiliser et
les informations qu’ils acceptent de partager.
Rapport de 2014 sur la mobilité et les logiciels malveillants
Les réseaux malveillants sont
les infrastructures utilisées
pour diriger les utilisateurs
vers les logiciels malveillants
via une série de relais et de
serveurs d’intrusion. Les
composants sont réutilisés
dans de nombreuses
attaques, permettant ainsi
aux cybercriminels de lancer
rapidement de nouvelles
attaques.
8
Même si de nombreuses applications potentiellement indésirables apparaissent sur les
marchés légitimes, ces derniers répondent généralement rapidement aux réclamations
des clients et suppriment les applications malveillantes connues du marché. Dans certains
cas, le marché désinstalle également à distance les applications malicieuses connues des
téléphones des utilisateurs qui les ont téléchargées et installées.
Malheureusement, les applications mobiles malveillantes ont tendance à rester plus
longtemps dans les collections de logiciels mobiles prétendument piratés et sur les marchés
ou dans les magasins d’applications étrangers, où les opérateurs vérifient moins (ou ne
vérifient pas du tout) les applications mobiles, avant de laisser les personnes les publier
pour les mettre à la disposition des autres.
Meilleures pratiques
• Ne téléchargez et n’achetez jamais une application ailleurs que sur les places de
marché légitimes comme App Store ou Google Play.
• Les sociétés déployant des initiatives BYOD ou de mobilité professionnelle devraient
envisager l’approbation préalable des applications mobiles présentant un moindre
risque de fuite de données ou de violation de la confidentialité et de la vie privée.
Les services tiers n’en sont en effet qu’à leurs prémices en matière de définition des
profils de risque des applications afin d’aider les sociétés à évaluer leur exposition
et à parvenir à un équilibre entre les risques et les avantages à utiliser une application
donnée.
Applications de SMS surtaxés : Le nouveau canular du numéro en 900
Un certain nombre d’applications, Android en particulier, se livrent à des canulars de SMS
surtaxés. Ces applications abonnent subrepticement les utilisateurs à des services de
messagerie qui facturent au compte téléphonique mobile de la victime un tarif par appel
ou au mois, comme les anciens canulars du numéro 900 qui rapportèrent des centaines
de milliers de dollars, facturés sur les comptes d’appelants qui ne se doutaient de rien.
Les applications de SMS surtaxés sont rapidement devenues le type de logiciels malveillant
Android le plus populaire, du fait que les terminaux mobiles intègrent un système bancaire.
La fonctionnalité permettant à une personne de faire un don à une œuvre caritative en cas
de catastrophe naturelle est identique à celle exploitée par les cybercriminels. Chaque
SMS de 5 $ ou plus envoyé à un numéro appartenant au cybercriminel est ajouté à votre
facture mobile.
Rapport de 2014 sur la mobilité et les logiciels malveillants
LA FONCTIONNALITÉ
PERMETTANT
À UNE PERSONNE
DE FAIRE UN DON
À UNE ŒUVRE
CARITATIVE EST
IDENTIQUE À CELLE
EXPLOITÉE PAR LES
CYBERCRIMINELS
9
Les SMS sont souvent envoyés sans que les utilisateurs de téléphones portables soient
capables de les détecter et peuvent s’élever jusqu’à plusieurs centaines de dollars avant
qu’ils ne reçoivent leur facture de téléphone portable.
La plupart de ces applications malveillantes ont un rapport avec des sites pornographiques
mobiles. Soit les sites comportent des liens permettant de télécharger une application
pornographique mobile qui s’avère en fait être un APK SMSbot malveillante, soit des
techniques d’ingénierie sociale sont utilisées sur un site pornographique mobile pour
convaincre l’utilisateur de télécharger l’application malveillante.
Suite au grand nombre de réclamations des consommateurs portant sur des canulars de
SMS surtaxés, certains opérateurs de services de téléphonie mobile s’efforcent activement
de déjouer ces canulars en permettant aux utilisateurs mobiles de bloquer complètement ce
type de service.
Synthèse
Selon Blue Coat, les logiciels malveillants mobiles vont continuer à représenter une menace
pour les utilisateurs, que ce soit dans le milieu professionnel ou domestique. Les fabricants
de systèmes d’exploitation pour téléphone portable seraient bien avisés d’aider les
utilisateurs à mieux gérer la façon dont les applications mobiles communiquent avec
le monde extérieur, quand et avec qui.
Rapport de 2014 sur la mobilité et les logiciels malveillants