Des applis voleuses de cryptos dans les app stores : gare aux "boucheries de porcs"
Jeune homme, vous êtes inscrit sur l'application de rencontre Tinder. Un jour, vous matchez avec une ravissante jeune fille au train de vie élevé et résidant à Paris. Ou alors elle vous a contacté via Facebook. Très vite, elle vous explique être utilisatrice de cryptomonnaies et d'ailleurs son oncle travaille dans une société d'analyse financière. Elle vous propose alors de trader avec ce proche via une application aux frais réduits. Son nom ? Ace Pro, ou encore BitScan. Aucune inquiétude, elle est disponible sur le Google Play Store et surtout sur l'App Store d'Apple, réputé pour sa vigilance. De quoi vous rassurer, votre nouvelle amie peut alors vous expliquer comment procéder.
Pour commencer, vous achetez des cryptomonnaies sur Binance puis les transférez sur la fameuse application. Au début, tout se passe bien, vous pouvez notamment sans problème retirer de petites sommes. Mais dès que vous essayez de récupérer une somme conséquente, l'application vous bloque. Un chat support client s'active, et on vous demande de payer des frais à hauteur de 20% de la valeur de votre porte-monnaie pour pouvoir y accéder. Soit vous payez, soit vous perdez vos précieuses cryptomonnaies. Et oui, vous avez été victime de la "boucherie de porcs", également appelée CryptoRom, une technique minutieuse qui demande beaucoup de main d'œuvre.
Au cœur de la boucherie
Mais d'où vient ce nom ? "Il vient du fait qu'on engraisse la victime en lui faisant transférer un grand nombre de cryptos sur l'application, puis quand le compte est assez gras on referme le piège, comme avec les cochons qu'on nourrit jusqu'à un certain poids avant de les tuer", explique Jagadeesh Chandraiah, senior threat researcher chez Sophos, qui a dirigé les recherches de Sophos sur ces "boucheries de porcs". Une victime a perdu 1,6 million de dollars... Signalées par Sophos, les applications identifiées ont été retirées de stores.
Ces boucheries possèdent un organigramme digne d'une entreprise : en haut les chefs qui gouvernent l'ensemble, en dessous le franchisé. Car les "boucheries de porcs" sont des franchises et chaque franchisé doit donner 40% de son CA à ses supérieurs. Sous le franchisé, on trouve trois équipes. Pour commencer, les hommes de mains : ils s'occupent de la "boucherie". Il s'agit d'un grand hangar où ils réceptionnent et "managent" les keyboarders, qui ferrent les victimes sur les sites de rencontre. Ces keyboarders sont eux-mêmes des victimes, contraints par la violence de réaliser ces tâches.
A leurs côtés se trouve l'équipe technique, dont la mission est de concevoir les applications, et pour finir, les comptables, qui gèrent les bénéfices et tiennent les comptes de la boucherie. Mais qui contrôle ces boucheries ? Les triades chinoises. Il semble en effet que leurs compounds installés en Birmanie et au Cambodge soient aussi parfois des "boucheries de porcs". "Au Cambodge, ils se cachent dans les zones économiques spéciales d'où il est plus facile d'opérer", poursuit Jagadeesh Chandraiah.
La validation Apple, clé du dispositif
Les boucheries tournent à plein régime. Mais comment réussissent-elles à leurrer la validation d'Apple ? L'équipe élabore une vraie application reliée à des serveurs tout à fait normaux. En parallèle, l'application frauduleuse est développée mais sur d'autres serveurs. Les deux applications utilisent la même interface. Une fois les deux applis terminées, l'équipe technique soumet la première à Apple. La validation acquise, les techniciens échangent les serveurs inoffensifs par ceux hébergeant l'application frauduleuse.
Comment se protéger ? "Les victimes n'ont jamais rencontré leur copine physiquement. Donc pour vous protéger, demandez à la jeune fille un rendez-vous dans un café... vous serez alors vite fixé sur sa réelle existence" déclare Jagadeesh Chandraia de chez Sophos.