De nouvelles campagnes de chevaux de Troie attaquent des centaines de portefeuilles de cryptomonnaies et d'applications bancaires
- Quatre familles de trojans Android ciblent activement plus de 800 applications de cryptomonnaie, bancaires et de réseaux sociaux.
- Ils utilisent des superpositions de connexion falsifiées, le vol d'identifiants et des méthodes anti-détection.
- Les trojans se propagent via des sites de phishing, de fausses offres d'emploi ou des arnaques par SMS.
Des chercheurs en cybersécurité ont découvert quatre familles actives de logiciels malveillants Android ciblant +800 applications, y compris des portefeuilles de cryptomonnaies et des applications bancaires. Ces logiciels malveillants utilisent des méthodes que la plupart des outils de sécurité traditionnels ne peuvent pas détecter.
L'équipe zLabs de Zimperium a publié les résultats suivant les chevaux de Troie connus sous les noms de RecruitRat, SaferRat, Astrinox et Massiv.
Selon les recherches de l'entreprise, chaque famille dispose de son propre réseau de commande et de contrôle qu'elle utilise pour voler les informations de connexion, prendre le contrôle des transactions financières et obtenir des données utilisateur à partir d'appareils infectés.
Les applications de cryptomonnaies et bancaires font face à de nouvelles menaces provenant de multiples logiciels malveillants
Les familles de logiciels malveillants constituent une menace directe pour toute personne gérant des cryptomonnaies sur Android.
Une fois installés, les chevaux de Troie peuvent superposer de fausses écrans de connexion sur les vraies applications de cryptomonnaies et bancaires, volant ainsi les mots de passe et autres informations privées en temps réel. Le logiciel malveillant place ensuite une fausse page HTML par-dessus l'interface de l'application réelle, créant ce que l'entreprise appelle « une façade trompeuse hautement convaincante ».
« En utilisant les Services d'accessibilité pour surveiller le premier plan, le logiciel malveillant détecte le moment exact où une victime lance une application financière », ont écrit les chercheurs en sécurité de Zimperium.
Selon le rapport, les chevaux de Troie peuvent faire plus que simplement voler des identifiants. Ils peuvent également capturer des codes à usage unique, diffuser en continu l'écran de l'appareil vers les attaquants, masquer leurs propres icônes d'application et empêcher les utilisateurs de les désinstaller.
Chaque campagne utilise un appât différent pour piéger les personnes.
SaferRat s'est propagé en utilisant de faux sites web promettant un accès gratuit à des services de streaming premium. RecruitRat a caché sa charge utile dans le cadre d'un processus de candidature à un emploi, dirigeant les cibles vers des sites de phishing qui leur demandaient de télécharger un fichier APK malveillant.
Astrinox a utilisé le même type de méthode basée sur le recrutement, en utilisant le domaine xhire[.]cc. Selon l'appareil utilisé pour visiter ce site, il affichait un contenu différent.
Les utilisateurs d'Android ont été invités à télécharger un fichier APK, tandis que les utilisateurs d'iOS ont vu une page ressemblant à l'App Store d'Apple. Cependant, les chercheurs en sécurité n'ont trouvé aucune preuve qu'iOS ait été réellement piraté.
Il n'a pas été possible de confirmer comment Massiv a été distribué pendant le cycle de recherche.
Les quatre chevaux de Troie ont utilisé des infrastructures de phishing, des arnaques par SMS et de l'ingénierie sociale jouant sur le besoin des gens d'agir rapidement ou sur leur curiosité, afin de les inciter à sideloader (installer manuellement) des applications nuisibles.
Les logiciels malveillants de cryptomonnaies échappent à la détection
Les campagnes visent à contourner les outils de sécurité.
Les chercheurs ont constaté que les familles de logiciels malveillants utilisent des techniques avancées d'anti-analyse et une altération structurelle des paquets d'applications Android (APK) pour maintenir ce que l'entreprise appelle des « taux de détection quasi nuls contre les mécanismes de sécurité traditionnels basés sur les signatures ».
Les communications réseau se mélangent également au trafic régulier. Les chevaux de Troie utilisent des connexions HTTPS et WebSocket pour communiquer avec leurs serveurs de commande. Certaines versions ajoutent des couches supplémentaires de chiffrement sur ces connexions.
Un autre point important est la persistance. Les chevaux de Troie bancaires Android modernes n'utilisent plus des infections simples à une seule étape. Au lieu de cela, ils utilisent des processus d'installation multi-étapes conçus pour contourner le modèle de permissions changeant d'Android, ce qui a rendu plus difficile pour les applications d'effectuer des actions sans la permission explicite de l'utilisateur.
Le rapport n'a pas identifié de portefeuilles de cryptomonnaies ou d'exchanges particuliers parmi les +800 applications ciblées. Mais en raison des attaques par superposition (overlay), de l'interception des codes et de la diffusion d'écran, toute application de cryptomonnaie basée sur Android pourrait être à risque si un utilisateur installe un fichier APK malveillant provenant de l'extérieur du Google Play Store.
Télécharger des applications à partir de liens dans des messages texte, des offres d'emploi ou des sites web promotionnels reste l'un des moyens garantis pour les logiciels malveillants mobiles d'infiltrer un smartphone.
Les personnes qui gèrent leurs cryptomonnaies sur des appareils Android ne devraient utiliser que les magasins d'applications officiels et se méfier des messages contextuels (pop-up) qui leur demandent de télécharger quelque chose.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
FAQ
Quelles sont les quatre familles de trojans Android ciblant les applications crypto ?
Les trojans sont nommés RecruitRat, SaferRat, Astrinox et Massiv. Chacun dispose de son propre système de commande et de contrôle qu'il utilise pour voler les informations de connexion et prendre le contrôle des transactions financières sur plus de 800 applications de cryptomonnaie et bancaires.
Comment ces trojans volent-ils les identifiants de connexion crypto ?
Le malware effectue des attaques par superposition en affichant une fausse page de connexion au-dessus de l'interface réelle lorsque l'utilisateur ouvre une application de cryptomonnaie ou bancaire. Il peut également récupérer les codes à usage unique (OTP), envoyer l'écran de l'appareil aux attaquants et empêcher les utilisateurs de le désinstaller.
Comment les victimes sont-elles infectées par ces trojans bancaires Android ?
Les attaquants propagent le malware via des sites de phishing, de faux sites de recrutement, de faux sites de streaming et des arnaques par SMS qui incitent les gens à télécharger des fichiers APK malveillants.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Randa Moses
Randa Moses est rédactrice et journaliste chez Cryptopolitan, couvrant la technologie, l'IA, la robotique, la crypto, les arnaques et les piratages. Elle évolue dans l'espace crypto depuis 2017. Elle a occupé des postes chez Forward Protocol, AmaZix et Cryptosomniac. Randa détient un diplôme en génie électrique et électronique de l'Université de Bradford.
