Logiciels malveillants

Un code qui permet l'exécution d'opérations indésirables, potentiellement nuisibles et contrôlées à distance sur un appareil.

Ces opérations peuvent comprendre un comportement qui placerait l'application, le fichier binaire ou la modification du cadre dans une des autres catégories de logiciels malveillants s'il était exécuté automatiquement. En général, une porte dérobée est une description des façons dont une opération potentiellement nuisible peut se produire sur un appareil. Une porte dérobée ne correspond donc pas entièrement aux catégories comme la fraude à la facturation ou les espiogiciels commerciaux. Par conséquent, dans certains cas, un sous-ensemble de portes dérobées est traité comme une vulnérabilité par Google Play Protect.

Un code qui débite automatiquement le compte de l'utilisateur de manière intentionnellement trompeuse.

La fraude à la facturation par le fournisseur de services se divise en catégories : fraude par message texte, fraude par appel et fraude par péage.

Fraude par message texte
Soit un code qui débite sans consentement le compte des utilisateurs lors de l'envoi de messages textes payants ou qui tente de masquer ses activités de messages textes en dissimulant les accords de divulgation, soit des messages textes de l'opérateur de téléphonie mobile qui informent l'utilisateur de frais ou qui confirment des abonnements.

Certains codes, même s'ils révèlent techniquement le comportement d'envoi de messages textes, introduisent un comportement supplémentaire qui permet la fraude par messages textes. Par exemple, ces codes peuvent cacher des parties d'un accord de divulgation à l'utilisateur et ils peuvent les rendre illisibles. Ils peuvent également supprimer de façon conditionnelle des messages textes de l'opérateur de téléphonie mobile qui informent l'utilisateur de frais ou qui confirment un abonnement.

Fraude par appel
Un code qui débite le compte des utilisateurs en passant des appels à des numéros payants sans obtenir le consentement de l'utilisateur.

Fraude par péage
Un code qui incite les utilisateurs à s'abonner à du contenu ou à en acheter par l'entremise de leur facture de téléphone cellulaire.

La fraude par péage comprend tout type de facturation, à l'exception de la facturation des messages textes et des appels payants. Par exemple, cette fraude peut être effectuée au moyen de la facturation directe par le fournisseur de services, d'un point d'accès sans fil et d'un transfert de temps de communication mobile. La fraude au moyen d'un point d'accès sans fil est l'un des types de fraudes par péage les plus répandus. La fraude au moyen d'un point d'accès sans fil peut inclure le fait de tromper des utilisateurs en les incitant à cliquer sur le bouton d'un composant WebView chargé de façon transparente et silencieuse. Une fois l'action effectuée, un abonnement récurrent est lancé, et le message texte ou le courriel de confirmation est souvent détourné pour empêcher les utilisateurs de remarquer la transaction financière.

Du code qui collecte des données personnelles ou confidentielles de l'utilisateur à partir d'un appareil et qui les transmet à un tiers (une entreprise ou un autre particulier) à des fins de surveillance.

Les applications doivent afficher une divulgation bien visible et obtenir le consentement conformément à la politique relative aux données de l'utilisateur.

Consignes applicables aux applications de surveillance

Les applications exclusivement conçues et commercialisées pour surveiller un autre particulier, par exemple une application qui permet aux parents de surveiller leurs enfants ou une application de gestion d'entreprise qui permet de surveiller des employés individuels, sont les seules applications de surveillance acceptables, sous réserve qu'elles respectent pleinement les exigences décrites ci-dessous. Ces applications ne peuvent pas être utilisées pour suivre une autre personne, comme un conjoint, même à sa connaissance et avec son autorisation, et indépendamment du fait qu'une notification permanente soit affichée. Ces applications doivent utiliser l'indicateur de métadonnées IsMonitoringTool dans leur fichier de configuration pour se désigner correctement comme des applications de surveillance.

Les applications de surveillance doivent respecter les exigences suivantes :

• Les applications ne doivent pas se présenter comme une solution d'espionnage ni de surveillance secrète.
• Les applications qui effectuent un suivi du comportement de l'utilisateur ne sont pas autorisées à dissimuler cette fonctionnalité ni à induire l'utilisateur de l'appareil en erreur à propos de celle-ci.
• Les applications doivent présenter aux utilisateurs une notification permanente lorsque l'application est en cours d'exécution, de même qu'une icône unique qui identifie clairement celle-ci.
• Les applications doivent divulguer leurs fonctionnalités de surveillance ou de suivi dans leur description dans la boutique Google Play Store.
• Les applications et les fiches des applications sur Google Play ne doivent fournir aucun moyen d'activer une fonctionnalité qui viole ces conditions d'utilisation, ou d'y accéder, comme la liaison à un fichier APK non conforme hébergé en dehors de Google Play.
• Les applications doivent respecter les lois applicables. Vous êtes seul responsable de l'évaluation de la légalité de votre application dans sa langue cible.

Un code qui, à l'insu de l'utilisateur, exécute une attaque par déni de service (DdS) ou fait partie d'une attaque DdS distribuée contre d'autres systèmes et d'autres ressources.

Par exemple, cette attaque peut se produire en envoyant un volume élevé de requêtes HTTP pour produire une charge excessive sur les serveurs distants.

Un code qui, en soi, n'est pas potentiellement dangereux, mais qui télécharge d'autres APN.

Le code peut être un téléchargeur hostile :

• s'il y a des raisons de croire qu'il a été créé pour diffuser les APN et qu'il a téléchargé des APN, ou s'il contient un code permettant de télécharger et d'installer des applications; ou
• si au moins 5 % des applications qu'il télécharge sont des APN avec un seuil minimal de 500 téléchargements d'applications observés (25 téléchargements d'APN observés).

Les principaux navigateurs et les principales applications de partage de fichiers ne sont pas considérés comme des téléchargeurs hostiles :

• s'ils n'entraînent aucun téléchargement sans interaction de l'utilisateur; et
• si tous les téléchargements d'APN sont lancés par des utilisateurs consentants.

Un code qui contient des menaces présentes sur une autre plateforme qu'Android.

Ces applications ne peuvent pas nuire à l'utilisateur ni à l'appareil Android, mais elles contiennent des composants potentiellement nocifs pour d'autres plateformes.

Un code qui prétend provenir d'une source fiable, qui demande les données d'authentification ou de facturation d'un utilisateur, et qui les envoie à un tiers. Cette catégorie s'applique également aux codes qui interceptent la transmission des authentifiants d'utilisateurs en traitement.

Les cibles courantes de l'hameçonnage comprennent les authentifiants bancaires, les numéros de cartes de crédit et les authentifiants de comptes en ligne pour les réseaux sociaux et les jeux.

Un code qui compromet l'intégrité du système en modifiant le bac à sable de l'application, en obtenant des privilèges élevés, ou en modifiant ou en désactivant l'accès aux fonctions essentielles liées à la sécurité.

Voici quelques exemples :

• Une application qui enfreint le modèle d'autorisations Android ou qui vole les authentifiants (comme les jetons OAuth) des autres applications.
• Les applications qui abusent des fonctionnalités pour empêcher qu'elles ne soient désinstallées ou arrêtées.
• Une application qui désactive SELinux.

Les applications d'élévation de privilèges qui accèdent à la racine des appareils sans l'autorisation de l'utilisateur sont classées comme des applications d'accès racine.

Un code qui prend le contrôle partiel ou étendu d'un appareil ou des données d'un appareil, et qui demande à l'utilisateur d'effectuer un paiement ou une action pour transférer le contrôle.

Certains rançongiciels chiffrent des données sur l'appareil et demandent un paiement pour les déchiffrer ou exploiter les fonctionnalités d'administration de l'appareil afin qu'elles ne puissent pas être supprimées par un utilisateur normal. Voici quelques exemples :

• Verrouiller un utilisateur hors de son appareil et lui demander de l'argent pour restaurer le contrôle.
• Chiffrer des données sur l'appareil et demander un paiement, soi-disant pour déchiffrer les données.
• Tirer parti des fonctionnalités du gestionnaire Device Policy et bloquer la suppression par l'utilisateur.

Les codes distribués avec l'appareil dont l'objectif principal est la gestion d'appareils subventionnés peuvent être exclus de la catégorie des rançongiciels à condition qu'ils répondent aux exigences en matière de verrouillage et de gestion sécurisés, ainsi qu'aux exigences en matière de divulgation et de consentement adéquats de l'utilisateur.

Un code qui accède à la racine de l'appareil.

Il existe une différence entre des codes d'accès racine non malveillants et malveillants. Par exemple, les applications d'accès racine non malveillantes permettent à l'utilisateur de savoir à l'avance qu'il accédera à la racine de l'appareil, et elles n'exécutent aucune autre action potentiellement nuisible qui s'applique à d'autres catégories d'APN.

Les applications d'accès racine malveillantes n'informent pas l'utilisateur qu'elles accéderont à la racine de l'appareil, ou elles l'informent d'avance qu'elles accéderont à la racine, mais elles exécutent également d'autres actions qui s'appliquent à d'autres catégories d'APN.

Un espiogiciel est une application, un code ou un comportement malveillant qui collecte, exfiltre ou partage des données relatives à l'utilisateur ou à l'appareil qui ne sont pas liées à une fonctionnalité conforme à la politique.

Un code ou un comportement malveillant qui peut être considéré comme de l'espionnage à l'endroit de l'utilisateur ou qui exfiltre des données sans notification ou consentement adéquat est également considéré comme un espiogiciel.

Par exemple, les violations des espiogiciels comprennent, mais sans s'y limiter :

• L'enregistrement audio ou l'enregistrement d'appels effectués au téléphone
• Le vol de données de l'application
• Une application contenant un code tiers malveillant (par exemple, une trousse SDK) qui transmet des données hors de l'appareil d'une manière inattendue pour l'utilisateur et sans envoyer de notification à l'utilisateur ni obtenir le consentement adéquat de celui-ci.

Toutes les applications doivent également respecter l'ensemble des politiques du programme pour les développeurs de Google Play, y compris les politiques relatives aux données des utilisateurs et des appareils, comme les politiques relatives aux logiciels mobiles indésirables, aux données de l'utilisateur, aux autorisations et aux API qui accèdent à des informations confidentielles, ainsi que les exigences en matière de trousse SDK.

Un code qui semble bénin, comme un jeu qui prétend n'être qu'un jeu, mais qui effectue des actions indésirables contre l'utilisateur.

Cette classification est généralement utilisée conjointement avec d'autres catégories d'APN. Un cheval de Troie comporte un composant inoffensif et un composant nuisible caché. Par exemple, un jeu qui envoie, à l'insu de l'utilisateur, des messages textes payants en arrière-plan à partir de l'appareil de l'utilisateur.

La classification des logiciels malveillants dans la catégorie porte dérobée dépend des façons dont le code agit. Pour qu'un code soit classé dans la catégorie porte dérobée, celui-ci doit permettre un comportement qui le placerait dans une des autres catégories de logiciels malveillants s'il était exécuté automatiquement. Par exemple, si une application autorise le chargement de code dynamique et que le code chargé dynamiquement extrait des messages textes, elle sera classée comme un logiciel malveillant de type porte dérobée.

Cependant, si une application autorise l'exécution de code arbitraire et que nous n'avons aucune raison de croire que cette exécution de code a été ajoutée dans le but d'exécuter un comportement malveillant, l'application sera considérée comme ayant une vulnérabilité, plutôt que comme un logiciel malveillant de type porte dérobée, et le concepteur sera invité à la corriger.

Une application qui utilise plusieurs techniques d'évasion pour offrir à l'utilisateur des fonctionnalités différentes ou factices. Ces applications se font passer pour des applications ou des jeux légitimes dans le but de paraître inoffensives aux yeux des boutiques d'applications et utilisent des techniques telles que le brouillage, le chargement dynamique de code ou la dissimulation pour cacher du contenu malveillant.

Les logiciels malveillants ressemblent à d'autres catégories d'APN, notamment le cheval de Troie, avec comme principale différence les techniques utilisées pour brouiller l'activité malveillante.