Google Play a donné le démarrage à 16 applications avec plus de 20 millions d’installations combinées après que les chercheurs ont détecté une activité malveillante qui pourrait amener les appareils Android sur lesquels ils fonctionnent à vider les batteries plus rapidement et à utiliser plus de données que la normale.

Les applications fournissaient des fonctions légitimes, notamment une lampe de poche, un appareil photo, la lecture QR et des conversions de mesures, a déclaré mercredi la société de sécurité McAfee. Une fois ouvertes, cependant, les applications ont téléchargé subrepticement du code supplémentaire qui les a amenées à commettre une fraude publicitaire. Dès lors, les appareils infectés recevaient des messages via la plate-forme Firebase Cloud Messaging appartenant à Google qui leur demandait d’ouvrir des pages Web spécifiques en arrière-plan et de sélectionner des liens pour gonfler artificiellement le nombre de clics reçus par les annonces.

« Principalement, il s’agit de visiter des sites Web qui sont livrés par message FCM et de les parcourir successivement en arrière-plan tout en imitant le comportement de l’utilisateur », a écrit SangRyol Ryu de McAfee. « Cela peut entraîner un trafic réseau important et consommer de l’énergie sans que l’utilisateur ne s’en aperçoive pendant qu’il génère des bénéfices pour l’auteur de la menace à l’origine de ce malware. »

Le message comprenait la capture d’écran suivante illustrant un petit échantillon des demandes de réseau supplémentaires qu’un appareil a effectuées lors de la fraude.

Toutes les applications malveillantes sont fournies avec une bibliothèque de codes nommée com.liveposting, qui agit comme un agent et exécute des services de logiciels publicitaires cachés. D’autres applications sont également fournies avec une bibliothèque supplémentaire appelée com.click.cas, qui se concentre sur la fonctionnalité de clic automatisé. Pour dissimuler le comportement frauduleux, les applications ont attendu environ une heure après l’installation avant d’exécuter les bibliothèques.

La fraude publicitaire fonctionne par le biais de programmes d’affiliation, qui permettent à un tiers de recevoir une part des revenus publicitaires en échange de la fourniture de liens qui conduisent les utilisateurs finaux vers des publicités. Plutôt que d’amener véritablement de vrais utilisateurs sur le site, les fraudeurs simulent la référence à l’aide de bots ou d’autres méthodes automatisées pour imiter l’engagement réel des utilisateurs.

Les applications détectées par McAfee incluent :

Dans un communiqué, un porte-parole de Google a noté que toutes les applications signalées par McAfee avaient été supprimées. Le représentant a poursuivi en disant : « Les utilisateurs sont également protégés par Google Play Protect, qui bloque ces applications sur les appareils Android. » Le porte-parole n’a pas répondu à une question de suivi demandant comment les applications ont accumulé 20 millions d’installations si elles sont bloquées.