Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

Recherche Avast : les applications frauduleuses sur iOS et Android se multiplient via TikTok

septembre 2020 par Avast

Avast a découvert 7 applications avec des logiciels publicitaires (adwares) frauduleux sur le Google Play Store et l’App Store d’Apple. Cette découverte fait suite au signalement par un enfant d’un profil TikTok faisant la promotion d’une application signalée comme suspecte dans le cadre du projet Be Safe Online développé par Avast et qui vise à éduquer les enfants sur les moyens d’assurer leur sécurité en ligne.

Les applications concernées ont été téléchargées plus de 2 400 000 fois et ont permis aux individus à l’origine de ces applications frauduleuses d’empocher plus de 420 000 euros, d’après les estimations fournies par le cabinet Sensor Tower, spécialisé dans les études de marché pour les applications relatives à la sécurité. Ces applications font de surcroît l’objet de notations particulièrement médiocres, allant de 1,3 à 3,2.

Se présentant comme des applications de divertissement, avec une offre de jeux tels que les « Shock My Friends » très appréciés du jeune public, ou des applications permettant de télécharger des fonds d’écran ou de la musique, elles affichent en réalité des publicités intrusives ou imposent aux jeunes utilisateurs des tarifs ou des droits d’entrée prohibitifs pouvant aller de 1,70 à 8,50 euros environ. Malgré des offres alléchantes, elles ne proposent en fait que des jeux basiques permettant uniquement de faire vibrer son portable, d’obtenir un fond d’écran ou de la musique. Certaines d’entre elles sont des chevaux de Troie de type HiddenAds, un type de logiciel particulièrement intrusif qu’Avast avait déjà signalé cet été, qui se « déguise » en application légitime et utile, mais qui facilite de fait la diffusion de publicités totalement extérieures à l’application, en masquant l’icône d’origine afin d’empêcher les utilisateurs d’identifier la source des publicités.

« Nous remercions la jeune fille qui nous a signalé le profil TikTok. Sa vigilance et son sens de la responsabilité représentent le type d’engagement dont nous devrions tous faire preuve pour que le cybermonde soit un endroit plus sûr, confie Jakub Vávra, analyste des menaces chez Avast. Les applications que nous avons découvertes sont frauduleuses, et elles violent les politiques instaurées par Google et par Apple pour leurs boutiques et applications, par le biais d’allégations mensongères quant aux fonctionnalités proposées, ou en servant des publicités extérieures à l’application, et en masquant rapidement l’icône original après installation. Il est très inquiétant de constater que de telles applications sont promues sur des plateformes de réseaux sociaux très populaires auprès d’un jeune public qui n’est pas nécessairement en capacité de reconnaître la nature de certaines alertes qui y sont associées, et qui donc peut y souscrire sans se méfier. »

Promotion via TikTok

Nombre de ces applications font l’objet d’une promotion sur TikTok, via au moins trois profils dédiés qui sont destinés à les encourager, et dont l’un compte quelque 300 000 followers. Outre les profils TikTok, les chercheurs d’Avast ont également découvert un profil Instagram assurant la promotion de l’une des applications, qui compte plus de 5 000 followers.

Les applications iOS et Android semblent avoir été développées par le même individu ou groupe d’individus. Les liens fournis sur les réseaux sociaux dirigent vers les versions iOS ou Android, en fonction de l’appareil utilisé pour accéder au lien.

Comment se protéger ?

Prêter attention aux commentaires : il peut s’avérer difficile de reconnaître les adwares et autres applications frauduleuses, dans la mesure où ils sont souvent déguisés sous la forme d’applications de divertissement, comme les jeux. Différents signes ou alertes peuvent toutefois inciter à se méfier, comme une mauvaise notation de l’application, des retours d’information négatifs, la présence de publicités excessives ou un fonctionnement inadéquat des fonctionnalités proposées. « Outre ces sept applications, nous avons également observé que les développeurs proposent d’autres applis ayant un très faible volume de téléchargement et un nombre réduit de commentaires. Pour autant, la poignée de commentaires publiés est extrêmement positive, voire enthousiaste, ce qui peut également conduire à s’interroger sur la légitimité de tels retours d’information », poursuit Jakub Vávra.

Estimer la valeur réelle de l’offre : les utilisateurs doivent considérer la valeur réelle de ce qu’ils paient, et si le prix demandé pour une application est vraiment en rapport avec la proposition. « Un grand nombre de ces applications n’offrent que des fonctionnalités basiques ou irréalistes, comme de simples jeux qui prétendent choquer les joueurs, ou des fonds d’écran pour environ 7 euros, ce qui est très onéreux quand on sait que des jeux et des fonctionnalités de ce type sont souvent proposés gratuitement par d’autres développeurs », met en garde Jakub Vávra.

Evaluer la pertinence des demandes d’autorisation : avant de télécharger une application, l’utilisateur doit vérifier la nature et l’importance des autorisations d’accès qui lui sont réclamées, et considérer leur pertinence par rapport à son fonctionnement. « L’appli Android ThemeZone–Shawky demande l’accès au stockage extérieur de l’appareil, ce qui peut inclure les photos, les vidéos et les fichiers, en fonction de l’utilisation qui est faite du stockage. Or, l’accès au stockage extérieur n’est pas nécessaire pour une simple application de fond d’écran », indique Jakub Vávra.

« Il est également important que les parents mettent en garde leurs enfants à propos de ces applications, en leur signalant les points auxquels il convient de faire attention avant de télécharger. Ou bien instaurer une règle simple : que les enfants demandent systématiquement leur permission avant de télécharger une application, pour éviter des coûts potentiellement élevés », conclut Jakub Vávra.

Avast a signalé ces applications frauduleuses à Apple et à Google, et a alerté TikTok et à Instagram sur les profils concernés.


Voir les articles précédents

    

Voir les articles suivants