Comment supprimer PromptSpy des appareils infectés

De quel type de logiciel malveillant s'agit-il avec PromptSpy ?

PromptSpy est un logiciel malveillant Android qui utilise l'IA générative pour assurer sa persistance. Il exploite Google Gemini pour analyser ce qui s'affiche à l'écran de l'appareil infecté et déterminer comment rester actif dans la liste des applications récentes. Cela permet au logiciel malveillant de continuer à fonctionner en arrière-plan. Son objectif principal est d'installer un client VNC qui permet aux pirates de visualiser l'écran et de contrôler l'appareil à distance.

PromptSpy en détail

PromptSpy comprend un dropper et une charge utile qui exploitent Google Gemini. Il utilise Google Gemini pour interagir avec l'écran du téléphone. Au lieu d'utiliser des scripts fixes susceptibles de ne pas fonctionner sur certains appareils, il transmet à Gemini des informations sur ce qui s'affiche actuellement à l'écran. Gemini analyse les éléments de l'écran et renvoie des instructions indiquant où appuyer ou quelle action effectuer. Cela permet au logiciel malveillant de rester actif en se maintenant dans la liste des applications récentes, même si l'utilisateur tente de le fermer.

De plus, PromptSpy intègre un outil VNC qui permet aux pirates de prendre le contrôle total à distance d'un téléphone infecté dès que la victime active les services d'accessibilité. Cela leur permet de voir l'écran et d'effectuer des actions telles que des clics, des balayages, des gestes et la saisie de texte.

PromptSpy utilise l'intelligence artificielle pour maintenir son application épinglée dans la liste des applications récentes. Cela permet au logiciel malveillant de continuer à s'exécuter en arrière-plan, ce qui rend sa fermeture difficile. Cette fonctionnalité est probablement utilisée avant que les cybercriminels ne lancent la session de contrôle à distance. Ainsi, l'application reste active, et le système ou la victime est moins susceptible de l'arrêter.

De plus, PromptSpy détourne les services d'accessibilité pour empêcher les utilisateurs de le supprimer. Lorsque la victime tente de désinstaller l'application ou de désactiver les services d'accessibilité, le logiciel malveillant affiche des cadres invisibles par-dessus des boutons tels que « Arrêter », « Effacer » ou « Désinstaller ». Ces couches masquées bloquent les pressions de la victime, empêchant ainsi l'activation des boutons.

Une fois que le logiciel malveillant s'est connecté à un serveur de commande et de contrôle distant, il peut recevoir des instructions lui permettant de collecter des informations telles que les applications installées et actives, de réaliser des captures d'écran, d'enregistrer l'activité à l'écran et de recueillir des détails sur l'écran de verrouillage. Il peut également enregistrer le schéma de déverrouillage et détecter si l'écran est allumé.

Conclusion

PromptSpy illustre bien comment les cybercriminels ont commencé à utiliser des outils d'IA tels que Google Gemini pour rendre les logiciels malveillants plus performants et plus difficiles à neutraliser. En combinant une interaction avec l'écran assistée par l'IA à des capacités de contrôle à distance, les cybercriminels peuvent maintenir le logiciel malveillant actif et gérer plus facilement les appareils infectés.

Parmi les autres exemples de logiciels malveillants ciblant les appareils Android, on peut citer Oblivion RAT, ZeroDayRAT et Arsink.

Comment PromptSpy s'est-il introduit dans mon appareil ?

Les cybercriminels diffusent PromptSpy via des sites web malveillants qui imitent des sites bancaires légitimes. Ces pages reprennent l'identité visuelle et les textes des banques pour paraître légitimes. Ces sites hébergent des applications Android malveillantes qui se font passer pour des applications bancaires officielles. Lorsqu'une victime en installe une, l'application sert de « dropper » pour installer le logiciel malveillant.

La victime est invitée à autoriser l'installation à partir de sources inconnues, ce qu'Android bloque normalement pour des raisons de sécurité. Une fois l'autorisation accordée, le dropper contacte un serveur distant et récupère un fichier de configuration contenant un lien permettant de télécharger la charge utile PromptSpy.

La charge utile est téléchargée sous la forme d'un autre fichier APK et présentée comme une fausse mise à jour. Une fois installée, elle demande des autorisations pour les services d'accessibilité et installe ses composants malveillants, notamment le module VNC de contrôle à distance.

Comment éviter l'installation de logiciels malveillants ?

Veillez à ce que votre système d'exploitation et vos applications soient toujours à jour, et ne téléchargez des logiciels qu'à partir de sites web officiels ou de boutiques d'applications fiables. Évitez de cliquer sur des publicités, des fenêtres contextuelles ou des liens suspects sur des sites douteux, et refusez les demandes de notification provenant de ces sites.

Méfiez-vous des e-mails ou des messages inattendus : évitez d'ouvrir les liens ou les pièces jointes qu'ils contiennent, à moins d'être certain qu'ils ne sont pas malveillants. Utilisez un logiciel de sécurité fiable pour effectuer régulièrement des analyses permettant de détecter et de supprimer les menaces potentielles.

PromptSpy demande à la victime d'activer les services d'accessibilité (source : welivesecurity.com) :

Menu rapide :

• Introduction
• Comment supprimer l'historique de navigation du navigateur Chrome ?
• Comment désactiver les notifications dans le navigateur Chrome ?
• Comment réinitialiser le navigateur web Chrome ?
• Comment supprimer l'historique de navigation du navigateur web Firefox ?
• Comment désactiver les notifications dans le navigateur web Firefox ?
• Comment réinitialiser le navigateur web Firefox ?
• Comment désinstaller des applications potentiellement indésirables et/ou malveillantes ?
• Comment démarrer un appareil Android en « mode sans échec » ?
• Comment vérifier la consommation de batterie des différentes applications ?
• Comment vérifier la consommation de données des différentes applications ?
• Comment installer les dernières mises à jour logicielles ?
• Comment réinitialiser le système à ses paramètres d'usine ?
• Comment désactiver les applications disposant de privilèges d'administrateur ?

Supprimer l'historique de navigation du navigateur Chrome :

Appuyez sur le bouton « Menu » (les trois points situés dans le coin supérieur droit de l'écran) et sélectionnez « Historique » dans le menu déroulant qui s'affiche.

Appuyez sur « Effacer les données de navigation », sélectionnez l'onglet « AVANCÉ », choisissez la période et les types de données que vous souhaitez supprimer, puis appuyez sur « Effacer les données ».

[Retour à la Table des Matières]

Désactiver les notifications dans le navigateur Chrome :

Appuyez sur le bouton « Menu » (les trois points situés dans le coin supérieur droit de l'écran) et sélectionnez « Paramètres » dans le menu déroulant qui s'affiche.

Faites défiler vers le bas jusqu'à ce que vous voyiez l'option « Paramètres du site », puis appuyez dessus. Faites défiler vers le bas jusqu'à ce que vous voyiez l'option « Notifications », puis appuyez dessus.

Recherchez les sites web autorisés à envoyer des notifications via le navigateur, appuyez dessus, puis cliquez sur « Effacer et réinitialiser ». Cela supprimera les autorisations accordées à ces sites web pour l'envoi de notifications. Cependant, si vous visitez à nouveau ce site, il se peut qu'il vous demande à nouveau l'autorisation. Vous pouvez choisir d'accorder ou non ces autorisations (si vous choisissez de refuser, le site web sera déplacé vers la section « Bloqués » et ne vous demandera plus l'autorisation).

[Retour à la Table des Matières]

Réinitialiser le navigateur Web Chrome :

Accédez à « Paramètres », faites défiler vers le bas jusqu'à ce que vous voyiez « Applications », puis appuyez dessus.

Faites défiler vers le bas jusqu'à ce que vous trouviez l'application « Chrome », sélectionnez-la, puis appuyez sur l'option « Stockage ».

Appuyez sur « GÉRER LE STOCKAGE », puis sur « EFFACER TOUTES LES DONNÉES » et confirmez l'action en appuyant sur « OK ». Notez que la réinitialisation du navigateur supprimera toutes les données qui y sont stockées. Cela signifie que tous les identifiants et mots de passe enregistrés, l'historique de navigation, les paramètres personnalisés et les autres données seront supprimés. Vous devrez également vous reconnecter à tous les sites web.

[Retour à la Table des Matières]

Supprimer l'historique de navigation du navigateur Web Firefox :

Appuyez sur le bouton « Menu » (les trois points situés dans le coin supérieur droit de l'écran) et sélectionnez « Historique » dans le menu déroulant qui s'affiche.

Faites défiler vers le bas jusqu'à ce que vous voyiez « Effacer les données privées », puis appuyez dessus. Sélectionnez les types de données que vous souhaitez supprimer, puis appuyez sur « EFFACER LES DONNÉES ».

[Retour à la Table des Matières]

Désactiver les notifications du navigateur dans Firefox :

Rendez-vous sur le site web qui envoie des notifications via le navigateur, appuyez sur l'icône située à gauche de la barre d'adresse (cette icône ne sera pas forcément un « Cadenas ») et sélectionnez « Modifier les paramètres du site ».

Dans la fenêtre contextuelle qui s'ouvre, sélectionnez l'option « Notifications », puis appuyez sur « EFFACER ».

[Retour à la Table des Matières]

Réinitialisez le navigateur Web Firefox :

Accédez à « Paramètres », faites défiler vers le bas jusqu'à ce que vous voyiez « Applications », puis appuyez dessus.

Faites défiler vers le bas jusqu'à ce que vous trouviez l'application « Firefox », sélectionnez-la, puis appuyez sur l'option « Stockage ».

Appuyez sur « EFFACER LES DONNÉES » et confirmez l'action en appuyant sur « SUPPRIMER ». Notez que la réinitialisation du navigateur entraînera la suppression de toutes les données qui y sont stockées. Cela signifie que tous les identifiants et mots de passe enregistrés, l'historique de navigation, les paramètres personnalisés et les autres données seront supprimés. Vous devrez également vous reconnecter à tous les sites web.

[Retour à la Table des Matières]

Désinstallez les applications potentiellement indésirables et/ou malveillantes :

Accédez à « Paramètres », faites défiler vers le bas jusqu'à ce que vous voyiez « Applications », puis appuyez dessus.

Faites défiler vers le bas jusqu'à ce que vous voyiez une application potentiellement indésirable et/ou malveillante, sélectionnez-la et appuyez sur « Désinstaller ». Si, pour une raison quelconque, vous ne parvenez pas à supprimer l'application sélectionnée (par exemple, si un message d'erreur s'affiche), essayez d'utiliser le « Mode sans échec ».

[Retour à la Table des Matières]

Démarrez l'appareil Android en « mode sans échec » :

Le « Mode sans échec » du système d'exploitation Android désactive temporairement l'exécution de toutes les applications tierces. L'utilisation de ce mode est un bon moyen de diagnostiquer et de résoudre divers problèmes (par exemple, supprimer les applications malveillantes qui vous en empêchent lorsque l'appareil fonctionne « normalement »).

Appuyez sur le bouton « Alimentation » et maintenez-le enfoncé jusqu'à ce que l'écran « Éteindre » s'affiche. Appuyez sur l'icône « Mise hors tension » et maintenez-la enfoncée. Après quelques secondes, l'option « Mode sans échec » apparaîtra et vous pourrez l'activer en redémarrant l'appareil.

[Retour à la Table des Matières]

Vérifiez la consommation de batterie des différentes applications :

Accédez à « Paramètres », faites défiler vers le bas jusqu'à ce que vous voyiez « Maintenance de l'appareil », puis appuyez dessus.

Appuyez sur « Batterie » et vérifiez la consommation de chaque application. Les applications légitimes sont conçues pour consommer le moins d'énergie possible afin d'offrir la meilleure expérience utilisateur et d'économiser de l'énergie. Par conséquent, une consommation élevée de la batterie peut indiquer que l'application est malveillante.

[Retour à la Table des Matières]

Vérifiez la consommation de données des différentes applications :

Accédez à « Paramètres », faites défiler vers le bas jusqu'à ce que vous voyiez « Connexions », puis appuyez dessus.

Faites défiler vers le bas jusqu'à ce que vous voyiez « Utilisation des données » et sélectionnez cette option. Tout comme pour la batterie, les applications légitimes sont conçues pour réduire au maximum la consommation de données. Cela signifie qu'une consommation excessive de données peut indiquer la présence d'une application malveillante. Notez que certaines applications malveillantes peuvent être conçues pour ne fonctionner que lorsque l'appareil est connecté à un réseau sans fil. C'est pourquoi vous devez vérifier à la fois l'utilisation des données mobiles et celle des données Wi-Fi.

Si vous constatez qu'une application consomme beaucoup de données alors que vous ne l'utilisez jamais, nous vous recommandons vivement de la désinstaller dès que possible.

[Retour à la Table des Matières]

Installez les dernières mises à jour logicielles :

Il est recommandé de maintenir le logiciel à jour pour garantir la sécurité de votre appareil. Les fabricants publient régulièrement des correctifs de sécurité et des mises à jour Android afin de corriger les erreurs et les failles susceptibles d'être exploitées par des cybercriminels. Un système obsolète est bien plus vulnérable ; c'est pourquoi vous devez toujours vous assurer que le logiciel de votre appareil est à jour.

Accédez à « Paramètres », faites défiler vers le bas jusqu'à ce que vous voyiez « Mise à jour logicielle », puis appuyez dessus.

Appuyez sur « Télécharger les mises à jour manuellement » et vérifiez si des mises à jour sont disponibles. Si c'est le cas, installez-les immédiatement. Nous vous recommandons également d'activer l'option « Télécharger les mises à jour automatiquement » : cela permettra au système de vous avertir dès qu'une mise à jour est disponible et/ou de l'installer automatiquement.

[Retour à la Table des Matières]

Réinitialisez le système à ses paramètres d'usine :

Effectuer une « réinitialisation d'usine » est un bon moyen de supprimer toutes les applications indésirables, de rétablir les paramètres par défaut du système et de nettoyer l'appareil dans son ensemble. Cependant, vous devez garder à l'esprit que toutes les données contenues dans l'appareil seront supprimées, y compris les photos, les fichiers vidéo/audio, les numéros de téléphone (enregistrés dans l'appareil, et non sur la carte SIM), les SMS, etc. En d'autres termes, l'appareil sera réinitialisé à son état d'origine.

Vous pouvez également restaurer les paramètres système de base et/ou simplement les paramètres réseau.

Accédez à « Paramètres », faites défiler vers le bas jusqu'à ce que vous voyiez « À propos du téléphone », puis appuyez dessus.

Faites défiler vers le bas jusqu'à ce que vous voyiez « Réinitialiser », puis appuyez dessus. Choisissez ensuite l'action que vous souhaitez effectuer :
« Réinitialiser les paramètres » - rétablit tous les paramètres système par défaut ;
« Réinitialiser les paramètres réseau » - rétablit tous les paramètres liés au réseau par défaut ;
« Réinitialisation des données d'usine » - réinitialise l'ensemble du système et supprime complètement toutes les données stockées ;

[Retour à la Table des Matières]

Désactivez les applications disposant de privilèges d'administrateur :

Si une application malveillante obtient des privilèges d'administrateur, elle peut causer de graves dommages au système. Pour garantir la sécurité optimale de votre appareil, vous devez toujours vérifier quelles applications disposent de ces privilèges et désactiver celles qui ne devraient pas en avoir.

Accédez à « Paramètres », faites défiler vers le bas jusqu'à ce que vous voyiez « Écran de verrouillage et sécurité », puis appuyez dessus.

Faites défiler vers le bas jusqu'à ce que vous voyiez « Autres paramètres de sécurité », appuyez dessus, puis appuyez sur « Applications administrateur de l'appareil ».

Identifiez les applications qui ne devraient pas disposer de privilèges d'administrateur, appuyez dessus, puis appuyez sur « DÉSACTIVER ».

Foire aux questions (FAQ)

Mon appareil est infecté par le logiciel malveillant PromptSpy. Dois-je formater mon périphérique de stockage pour m'en débarrasser ?

Cette procédure permettra de supprimer PromptSpy, mais elle effacera également toutes vos données ; elle ne doit donc être utilisée qu'en dernier recours. Il est conseillé d'effectuer d'abord une analyse complète à l'aide d'un logiciel de sécurité fiable, tel que Combo Cleaner.

Quels sont les principaux problèmes que peuvent causer les logiciels malveillants ?

Les logiciels malveillants peuvent accéder à vos données personnelles, permettre à des pirates de prendre le contrôle à distance de votre appareil, endommager (par exemple, chiffrer) ou effacer des fichiers, installer d'autres applications malveillantes, ralentir le système, provoquer des plantages et mener d'autres actions nuisibles.

À quoi sert PromptSpy ?

PromptSpy a pour objectif de permettre aux pirates de contrôler à distance un appareil Android infecté tout en restant invisible et en s'installant de manière persistante. Il recueille également des informations sensibles sur l'appareil et empêche les utilisateurs de le désinstaller facilement.

Comment PromptSpy s'est-il introduit dans mon appareil ?

PromptSpy se propage via de faux sites web bancaires hébergeant des applications Android malveillantes. Lorsqu'une victime installe l'application et autorise les téléchargements provenant de sources inconnues, celle-ci télécharge la charge utile de PromptSpy sous la forme d'une fausse mise à jour. Le logiciel malveillant sollicite ensuite les services d'accessibilité et installe des composants tels que le module VNC de contrôle à distance.

Combo Cleaner me protège-t-il contre les logiciels malveillants ?

Oui, Combo Cleaner est capable de détecter et de supprimer la plupart des logiciels malveillants connus. Étant donné que les menaces avancées peuvent se cacher profondément dans le système, il est recommandé d'effectuer une analyse complète afin de s'assurer que tous les composants malveillants sont identifiés et supprimés.