Geinimi : Cheval de Troie aux yeux bridés sur Android

Cela fait des années que les éditeurs d'antivirus promettent l'apocalypse dans les mobiles, et surtout les smartphones, observant consciencieusement les évolutions de malwares mobiles qui ne sont restés pour la plupart que des PoC ( Proof of Concept, des exemples théoriques ) ou qui n'ont connu qu'une diffusion limitée.

Mais, promis, la menace va bien finir par s'abattre sur les utilisateurs, les smartphones, avec leurs connectivités multiples et l'accès à des données sensibles qu'ils permettent, se multipliant, s'homogénéisant ( des dizaines de millions de terminaux utilisant la même plate-forme partout dans le monde ) et permettant le téléchargement d'applications pas toujours très nettes.

Si certains, comme Apple, ont choisi la voie d'une surveillance stricte, imposant de passer par un canal de distribution unique ( l' App Store ) et contrôlant ( en principe ) les applications qui y sont proposées, avec comme contrepartie une fermeture et un dirigisme qui peut se révéler irritant, d'autres, en proposant une plus grande ouverture, peuvent être aussi plus sensibles aux menaces.


Geinimi, malware parti de Chine
L'éditeur d'antivirus Lookout Mobile annonce ainsi avoir trouvé un Cheval de Troie pour Android , baptisé Geinimi et caché dans des logiciels distribués sur des portails chinois. Il s'agit souvent de jeux originaux et légitimes qui ont été modifiés pour embarquer le Cheval de Troie, qui se transforme en invité discret lors de l'installation.

Lookout Mobile indique que la mission de Geinimi est mal définie mais qu'il est capable de recevoir des instructions depuis un serveur distant qui peut en prendre le contrôle. Il pourrait s'agir d'une tentative pour constituer un réseau de botnets mobiles permettant de constituer un réseau servant à des attaques de type DDoS.

Conceptuellement, plus grand-chose ne s'oppose à la création de tels réseaux de smartphones zombies, à l'image des PC relayant des attaques coordonnées contre de sites Internet. Geinimi collecte également certaines données personnelles comme l'identifiant IMEI du mobile et le numéro IMSI de la carte SIM.

A noter que les applications infectées ne sont pas distribuées sur l' Android Market ( on y trouve les applications légitimes ), uniquement sur des portails alternatifs. Mais c'est une bonne occasion pour l'éditeur de rappeler que les menaces visant les PC, et les précautions qui en découlent, sont aussi valables, et de plus en plus, dans la sphère des smartphones.

Rappelons aussi qu' Android permet de vérifier les requêtes d'accès des applications lors de leur installation, ce qui peut donner une première indication d'un comportement anormal.