Appelé Dvmap, il a été identifié en avril 2017 par la firme russe, qui a averti Google de cette nouvelle menace. L'application concernée a été supprimée du store, mais le malware a frappé plusieurs dizaines de milliers d'appareils.
Dvmap : le premier malware à injection de code pour Android
Le 8 juin 2017, Kaspersky a publié le rapport intégral sur cette nouvelle attaque sur le site SecureList. L'attaque y est détaillée mais aussi la nouvelle technique utilisée par Dvmap, qui s'avère être une première dans le domaine des attaques Android. Avant d'être supprimé par Google, le malware a été téléchargé près de 50.000 fois, sans qu'il soit possible de savoir combien de ces attaques ont été un succès.Dvmap est un malware de type trojan qui s'attaque aux droits d'administration (root) d'Android. Ce n'est pas le premier malware à utiliser cette technique pour prendre le contrôle de l'appareil. Mais Dvmap innove, puisqu'il utilise, pour la première fois selon Kaspersky Lab, une injection de code malveillant dans les librairies Android.
Un contournement très simple de la sécurité du Play Store
Le malware adopte une nouvelle approche pour ne pas se faire repérer : une fois l'attaque visant les droits d'accès root d'Android réussie, il injecte dans les librairies lbdmv.so et libandroid_runtime.so du code malveillant, afin de se rendre invisible. Une technique identifiée pour la première fois de l'histoire chez Dvmap.En outre, Kaspersky met en avant la technique utilisée par les pirates pour contourner la sécurité du Play Store de Google. Ils ont mis en ligne une version saine de leur application, "Colourblock", avant de la mettre à jour avec une version malveillante. Cette version n'est restée en ligne que durant une courte période, avant que la version saine ne la remplace à nouveau. Un procédé répété, selon Kaspersky, près de 5 fois en un mois.
