Comment des développeurs trompent la revue de l’App Store pour faire approuver des apps malveillantes

• L’app « Collect Cards » est montée en tête du classement des téléchargements d’apps gratuites dans certains pays.
• Après un article de 9to5Mac, Apple a retiré l’app, mais une autre version de la même app a ensuite été republiée sur l’App Store.
• Analyse technique :
  • L’app partage la même base de code et est distribuée via différents comptes développeur.
  • Elle est construite sur React Native et utilise le SDK CodePush de Microsoft, ce qui permet de mettre à jour certaines parties de l’app sans envoyer une nouvelle build sur l’App Store.
  • Ces techniques ne violent pas les règles de l’App Store.
• Techniques des développeurs malveillants :
  • Des développeurs malveillants détournent ces techniques pour contourner la revue de l’App Store.
  • Un dépôt GitHub précis fournit des fichiers pour plusieurs apps de streaming pirate.
  • L’app utilise une API de géolocalisation pour vérifier la position de l’appareil.
  • Lors du premier lancement, elle attend quelques secondes avant d’appeler l’API de géolocalisation.
  • Cela empêche le processus de revue automatisé de l’App Store de repérer quoi que ce soit d’anormal dans le code de l’app.
  • Elle ne révèle son interface cachée que dans certaines positions considérées comme sûres.

Ce qu’Apple peut faire

• Améliorer le système de revue :
  • Apple pourrait mettre en place des tests supplémentaires pour vérifier le comportement des apps depuis différents emplacements.
  • L’entreprise devrait rechercher et supprimer plus activement les apps frauduleuses.
• Cas passés :
  • En 2017, Uber a été accusé d’avoir défini une barrière géographique autour du siège d’Apple.
  • Quand l’app s’exécutait à l’intérieur de cette zone, elle désactivait automatiquement le code de suivi des utilisateurs.
  • Apple ne semble pas avoir pris suffisamment de mesures pour empêcher ce type de situation.
• Situation actuelle :
  • D’après un document de 2021, l’équipe chargée de la revue de l’App Store est composée de plus de 500 experts et examine plus de 100 000 apps par semaine.
  • La plupart des apps passent d’abord par un processus de revue automatisé avant la revue manuelle.
• Réaction officielle d’Apple :
  • Après l’article de 9to5Mac, un porte-parole d’Apple a indiqué que l’app avait été retirée de l’App Store, sans préciser les mesures prises pour empêcher l’approbation d’autres apps similaires.

Avis de GN⁺

• Cet article montre en détail l’existence d’apps malveillantes qui exploitent les failles du système de revue de l’App Store.
• Il suggère qu’Apple dispose d’un système de sécurité techniquement solide, mais qu’un mécanisme de revue plus sophistiqué est nécessaire.
• Du point de vue des utilisateurs, il est important de vérifier les avis et la réputation avant de télécharger une app.
• D’autres stores d’apps mobiles peuvent rencontrer des problèmes similaires, ce qui implique un renforcement des protocoles de sécurité à l’échelle du secteur.
• Lors de l’adoption de nouvelles technologies ou de l’open source, les aspects de sécurité doivent être pleinement pris en compte.

[GN⁺]

Avis de Hacker News

• Même en neutralisant les astuces de géorepérage d’Apple, il reste simple de dissimuler un comportement

  • Appel API au serveur avec le numéro de build de l’app
  • L’activation des fonctionnalités « secrètes » est contrôlée par la réponse de l’API
  • Les fonctionnalités secrètes de chaque build ne sont activées qu’après la validation de la review
  • Aucun code dynamique/interprété n’est nécessaire
  • Cette méthode peut être ramenée au problème de l’arrêt, elle est donc indécidable

• Utilisation d’astuces basées sur le temps pour imposer des comportements qu’Apple n’aime pas

  • Changer le comportement d’un bouton 20 jours après la soumission de l’app
  • Faire en sorte que la boîte de dialogue « Ouvrir un fichier » aille directement au répertoire racine de l’utilisateur

• Explication du libellé d’Apple concernant les mises à jour dynamiques

  • Le code exécutable ne peut pas être téléchargé ni installé
  • Le code interprété peut être téléchargé, mais doit respecter les conditions suivantes
    • Ne pas modifier l’objectif principal de l’app
    • Ne pas créer de store pour d’autres codes ou apps
    • Ne pas contourner la signature, le sandboxing ou d’autres fonctions de sécurité

• La plupart des apps frauduleuses extorquent de l’argent via des abonnements hebdomadaires

  • Il existe des cas d’usage pour des pass hebdomadaires non récurrents (ex. : une app VPN pendant un voyage)
  • Les paiements hebdomadaires récurrents nécessitent une approbation manuelle
  • Toutes les apps ne devraient pas être autorisées à proposer une facturation hebdomadaire récurrente

• En 2021, l’équipe App Store Review examinait plus de 100 000 apps par semaine

  • En supposant que les examinateurs consacrent 100 % de leur temps à la review, cela fait environ 12 minutes par app

• Qualifier une app pirate de « malveillante » est exagéré

  • On peut se demander si cela a été écrit par le détenteur des droits d’auteur

• Les États-Unis ont besoin d’une loi comme le DMA

  • Une seule entreprise ne devrait pas pouvoir prendre en otage plus de 60 % des utilisateurs américains
  • Apple et Google ne devraient pas prélever 15 % à 30 % de l’ensemble des revenus générés sur le marché global des apps mobiles

• Des milliers de personnes sur des canaux/groupes Telegram s’intéressent aux dernières apps qui ont passé la review de l’App Store

  • Elles les utilisent jusqu’à ce qu’Apple agisse, puis le cycle recommence
  • Il existe aussi un marché pour les certificats de signature et les places sur des machines de développeur Apple

• Beaucoup d’apps ne sont rien d’autre que des WebView pointant vers des pages web distantes

  • Elles sont mises à jour chaque fois que le serveur met à jour la page
  • Aucune review n’est nécessaire

• Certaines apps ne font l’objet d’une review humaine qu’après avoir acquis une popularité suffisante

  • L’affaire Skacz Kurwa en est un exemple
  • Malgré un titre peu familial, elle a attiré une attention considérable