Google : une nouvelle attaque de phishing sophistiquée cible les comptes utilisateurs
Une nouvelle campagne de phishing extrêmement raffinée vise à compromettre la sécurité des comptes Google. Les attaquants utilisent une application web progressive (PWA) pour dérober des identifiants, les codes de vérification à deux facteurs et d'autres informations sensibles.
La pwa s'est fait passer pour une mise à jour officielle
Cette attaque combine une ingénierie sociale poussée avec des fonctionnalités apparemment légitimes du navigateur. Les victimes sont induites en erreur par un domaine frauduleux imitant une page de protection de compte Google. Sur cette fausse page, un processus de configuration en quatre étapes invite à accorder des permissions avancées et à installer l'application web malveillante.
Les applications web progressives, installables directement depuis le navigateur, fonctionnent comme des programmes autonomes, sans les contraintes habituelles de l'interface utilisateur. Cette autonomie renforce leur crédibilité aux yeux des utilisateurs. Selon Malwarebytes, l'application est capable d'extraire des contacts, des données de localisation en temps réel et le contenu du presse-papiers. Elle peut également agir comme un proxy réseau et un scanner de ports internes, permettant aux attaquants de rediriger le trafic et de détecter les appareils actifs sur le réseau local de la victime.
L'objectif principal est d'intercepter les codes OTP envoyés par SMS. L'application demande également l'autorisation d'envoyer des notifications, permettant l'affichage d'alertes fallacieuses pour inciter l'utilisateur à réouvrir la PWA et à effectuer des actions supplémentaires, ou à divulguer davantage d'informations. Une variante de l'attaque distribue un fichier APK pour Android, présenté comme une « mise à jour de sécurité critique » vérifiée par Google. Ce fichier sollicite jusqu'à 33 permissions à haut risque, notamment l'accès aux SMS, l'enregistrement des appels, le microphone et les services d'accessibilité.
Parmi les composants malveillants figurent un clavier personnalisé conçu pour capturer les frappes, un lecteur de notifications et des mécanismes de persistance compliquant sa désinstallation. Les chercheurs rappellent que Google ne réalise pas de vérifications de sécurité via des fenêtres pop-up ni ne demande l'installation de logiciels supplémentaires depuis des pages externes. La vigilance est donc de mise.