Comment une fausse application WhatsApp a berné des millions d’utilisateurs

 
Une fausse application WhatsApp a réussi à se faire télécharger plus d’un million de fois sur le Play Store avant d’être supprimée. Preuve, une nouvelle fois, que le système de sécurité de Google doit être remis en question.

Avec un minimum d’astuce et en misant sur la relative naïveté des victimes, les pirates informatiques peuvent mener de très nombreuses attaques, parfois avec une facilité déconcertante. Récemment, comme on a pu le voir sur les forums de Reddit ici, puis ici, une fausse application WhatsApp a été téléchargée par plus d’un million d’utilisateurs sur le Play Store.

L’application baptisée « Update WhatsApp Messenger » — se faisant donc passer pour une version mise à jour du célèbre service de messagerie — contenait des publicités factices — voir ci-dessous — capables de télécharger des logiciels indésirables sur le terminal de l’utilisateur.

Elle a heureusement été supprimée du Play Store, mais le mal a tout de même été fait. L’application en question a réussi à faire croire à ses victimes qu’elle avait été développée par WhatsApp Inc. Pour arriver à un résultat probant, les hackers avaient remplacé l’espace dans le nom du développeur par un caractère spécial qui ressemblait à un espace classique.

La fausse application.
La vraie.

Autrement dit, la différence était très difficile à distinguer pour l’utilisateur moyen. Le nom et le logo modifiés de l’application auraient dû mettre la puce à l’oreille, mais pour quelqu’un qui vient de se procurer un smartphone Android, il n’est pas forcément aisé de savoir discerner le vrai du faux.

C’est tout le système de sécurité du Play Store qui peut être remis en question ici. Comme on le répète souvent, contrairement à l’App Store d’Apple où la vérification des applications se fait a priori, sur le Play Store, elle a lieu a posteriori.

Google utilise des algorithmes pour décompiler l’APK et analyser ses mécanismes. Entre-temps, une application peut apparaitre pendant plusieurs heures sur le Play Store, le temps qu’un cache soit appliqué. Mais il arrive que certaines d’entre elles passent à travers les mailles du filet, même si elles sont vérolées.

Prudence, mère de sûreté

C’est pourquoi il faut toujours rester sur ses gardes et bien faire attention aux diverses informations qui se trouvent sur la page de l’application sur le Play Store.

Ici, c’est presque un cas d’école et ce n’est pas la première fausse application WhatsApp a être publiée sur le Play Store. Pour faire le tri, il faut bien consulter les nombreuses informations indiquées sur la boutique virtuelle : nombre de téléchargements, développeur, logo, commentaires, etc.

Le site The Leaker a ainsi réalisé plusieurs captures d’écran comparant la vraie application WhatsApp aux fausses.

Seule la vraie application affiche des adresses mail et postale crédibles (images : The Leaker).

Sur les exemples ci-dessous, les différences sont assez flagrantes.

Davantage d’utilisateurs ont laissé un avis sur la vraie application, dont le logo, la limite d’âge et la catégorie correspondent parfaitement à la plateforme de Facebook (images : The Leaker).

Google a récemment renforcé la sécurité sur le Play Store au travers de son programme Play Protect, mais, comme on peut le voir ici, ce n’est toujours pas infaillible. Pour rappel, la vraie application WhatsApp a été téléchargée plus d’un milliard de fois.

Pour aller plus loin
Certaines applications Android minent de la monnaie virtuelle à votre insu


Des invités passionnants et des sujets palpitants ! Notre émission UNLOCK est à retrouver un jeudi sur deux en direct, de 17 à 19h sur Twitch. Pensez aussi aux rediffusions sur YouTube !