Publié le 27 septembre 2023 05:05:00. Une nouvelle campagne de malvertising, partie de Meta, cible désormais les utilisateurs de YouTube via des comptes piratés et des vidéos trompeuses, distribuant un logiciel malveillant capable de voler des données personnelles et de prendre le contrôle à distance des appareils Android.
- Des publicités frauduleuses pour une fausse application TradingView Premium se propagent sur Meta et YouTube.
- Les utilisateurs d’Android sont particulièrement visés par le malware Brokewell, capable d’intercepter des informations sensibles.
- La campagne YouTube utilise désormais un téléchargeur personnalisé pour diffuser le cheval de Troie Trojan.agent.gosl.
Une campagne de malvertising initialement détectée sur Meta (Facebook) s’est étendue à YouTube, exploitant des comptes piratés et des vidéos non répertoriées pour diffuser un logiciel malveillant. Les experts en sécurité ont identifié une stratégie sophistiquée visant à compromettre les appareils des utilisateurs, en particulier ceux fonctionnant sous Android.
La première phase de cette attaque, découverte par les chercheurs de Bitdefender, impliquait la compromission d’un compte professionnel Facebook appartenant à une agence de design norvégienne. Les pirates ont utilisé ce compte pour diffuser au moins 75 publicités malveillantes promouvant une fausse application « TradingView Premium ». Cette application, destinée aux utilisateurs d’Android, contenait le malware Brokewell.
Brokewell est un logiciel malveillant particulièrement dangereux, capable de capturer des identifiants de connexion via des écrans de superposition, d’intercepter les cookies de session et d’enregistrer une large gamme d’actions utilisateur, notamment les frappes au clavier, les balayages et les saisies de texte. Il peut également accéder à des informations sensibles telles que les journaux d’appels, la géolocalisation et les enregistrements audio. Les versions les plus récentes de Brokewell agissent même comme des chevaux de Troie à distance (RAT), permettant aux attaquants de prendre le contrôle total de l’appareil infecté.
La campagne a ensuite évolué sur YouTube, où les attaquants ont détourné un compte existant, le renommant pour qu’il ressemble étroitement au compte officiel de TradingView. Ils ont ensuite téléchargé des vidéos faisant la promotion de la fausse application, en les marquant comme non répertoriées pour éviter la détection et le signalement. Une de ces vidéos a accumulé plus de 180 000 vues en quelques jours, témoignant de l’efficacité de cette stratégie de malvertising.
Contrairement à la version diffusée via Meta, la campagne YouTube ne distribue pas directement Brokewell. Au lieu de cela, elle propose un téléchargeur personnalisé qui installe le cheval de Troie Trojan.agent.gosl, également connu sous les noms de JSceal et Weevilproxy.
Pour se protéger contre ces menaces, il est crucial de faire preuve de bon sens et de ne pas faire confiance aux publicités proposant des versions premium d’outils gratuitement. Les utilisateurs doivent également vérifier si les vidéos sont non répertoriées ou mènent à des liens de téléchargement tiers. Le logiciel ne doit être téléchargé que sur les sites officiels, et toute publicité suspecte doit être signalée à Google ou à YouTube.
TradingView est une plateforme reconnue mondialement pour le suivi des marchés financiers, l’analyse graphique et le partage d’idées de trading.