Nous vous parlions le mois dernier d’une vulnérabilité critique pour Android, qui permettait de modifier une application légitime signée sans « casser » la signature cryptographique. Les détails viennent tout juste d’être révélés par son découvreur à l’occasion de la conférence Black Hat, à Las Vegas.

Mais ils étaient manifestement déjà connus des criminels, puisque le lendemain de l’annonce à la Black Hat, Trend Micro annonçait déjà avoir identifié une fausse application bancaire en Corée modifiée à l’aide de cette technique.

Les pirates ont proposé une vraie-fausse mise à jour de l’application Android d’une banque très populaire en Corée, dont l’objectif était de présenter une fausse page de login aux utilisateur. Et manifestement, ça a bien fonctionné…