PromptSpy : le malware qui détourne Gemini pour pirater votre smartphone Android
Les malwares Android ont historiquement utilisé des scripts rigides pour automatiser des actions telles que les appuis, balayages, et la navigation dans les menus. Ces scripts dépendent fortement des coordonnées précises et des éléments d'interface…
Les malwares Android ont historiquement utilisé des scripts rigides pour automatiser des actions telles que les appuis, balayages, et la navigation dans les menus. Ces scripts dépendent fortement des coordonnées précises et des éléments d'interface spécifiques. Cependant, des variations mineures dans l'interface, causées par des changements de version d'Android ou de surcouche constructeur, peuvent perturber leur fonctionnement.
PromptSpy présente une avancée en exploitant une intelligence artificielle (IA) générative. Le malware envoie à Gemini un aperçu de l'écran sous forme de fichier XML, incluant le texte, le type d'élément, et la position exacte, accompagné d'instructions en langage naturel. L'IA retourne ensuite des directives structurées pour interagir avec l'interface, permettant une manipulation dynamique.
Ce processus est cyclique. PromptSpy exécute les actions via le service d’accessibilité d’Android et renvoie l'état mis à jour de l'écran pour validation par l'IA. L'objectif est de verrouiller l'application malveillante dans la liste des « applications récentes », empêchant sa fermeture par l'utilisateur. Cette méthode de persistance est renforcée par l'analyse contextuelle fournie par Gemini.
Selon ESET, PromptSpy est le premier malware Android documenté utilisant une IA générative pour la manipulation d'interfaces. Bien que l'IA ne constitue qu'une fraction du code, elle augmente considérablement l'adaptabilité du logiciel. PromptSpy dispose également d'un module VNC permettant un contrôle complet du smartphone compromis. Une fois les autorisations d’accessibilité activées, il peut simuler des gestes, saisir du texte, et naviguer librement.
Ces scripts dépendent fortement des coordonnées précises et des éléments d'interface spécifiques.
La communication avec le serveur de commande utilise le protocole VNC avec chiffrement AES, permettant au malware de récupérer la liste des applications installées, d'enregistrer des captures d'écran et des vidéos, d'intercepter le code PIN, et d'observer l'activité en cours.
Le malware n'était pas distribué via Google Play mais par un site dédié désormais hors ligne. L'application se présentait comme un service bancaire appelé « MorganArg », avec une interface en espagnol. ESET a identifié un ciblage prioritaire de l'Argentine. Des indices dans le code, tels que des chaînes de débogage en chinois simplifié, suggèrent un développement dans un environnement chinois.
Google a été informé de cette menace et les versions connues sont détectées par Play Protect, activé par défaut sur les appareils Android compatibles.
D’après Journal du Geek.