Une nouvelle version d’un redoutable malware Android a été débusquée récemment par les chercheurs de Zimperium. Évoqué sous le nom de ToxicPanda 2.0, le virus cible les utilisateurs Android dans le monde entier, en particulier ceux qui utilisent des applications bancaires, de paiement et de cryptomonnaies.
Dans un premier temps, l’utilisateur va télécharger et installer une application en apparence inoffensive, que ce soit par le biais d’un APK, d’un site malveillant ou d’un magasin alternatif. Il s’agit généralement d’un prétendu VPN, d’un utilitaire système ou d’une mise à jour factice. Bonne nouvelle, le virus ne s’est pas infiltré sur le Play Store. Il se diffuse surtout par le biais des liens de téléchargement partagés par des cybercriminels.
À lire aussi : Arnaque à la carte bancaire – ces deux virus détournent le NFC de votre smartphone pour vider votre compte
Comment le virus désactive Google Play Protect ?
Les chercheurs de Zimperium décrivent ToxicPanda 2.0 comme un malware de type « dropper ». Ces virus sont généralement programmés pour s’introduire discrètement sur un smartphone, et, dans un deuxième temps, y installer d’autres solutions pirates, plus dangereuses et plus vicieuses. Dès l’installation, l’application malveillante fait tout pour se faire passer pour un service de VPN fiable. Sous couvert d’améliorer la sécurité ou la confidentialité de sa connexion, l’app demande à l’internaute de lui accorder des permissions VPN.
Une fois ces permissions obtenues, ToxicPanda 2.0 crée une interface qui va filtrer tout le trafic réseau du smartphone. Il va notamment filtrer le trafic de Google Play et des services associés. Ce processus va venir couper les échanges avec Google Play et Google Play Services. Votre smartphone ne pourra donc plus communiquer avec Play Protect, le service de sécurité de Google. Le téléphone ne pourra pas non plus vérifier ou mettre à jour les applications, ce qui empêche le mécanisme de sécurité de repérer et de supprimer l’application malveillante à l’origine de la cyberattaque.
A lire aussi : Ce botnet récalcitrant redémarre votre appareil dès que vous essayez de le tuer
Pages superposées et codes PIN volés
Une fois qu’il a le champ libre, le virus ouvre alors son coffre‑fort interne, déchiffre le vrai cheval de Troie caché dans l’application, puis l’installe en douce sur le smartphone, sans que l’utilisateur ne se rende compte que quoi que ce soit. Ensuite, l’appli malveillante affiche un message pour demander à l’internaute d’activer le « service d’accessibilité » Android. Censés aider les personnes ayant des handicaps, comme des déficiences visuelles, auditives ou motrices, à utiliser le téléphone, ces services sont massivement exploités par les cybercriminels.
Si la victime accepte, ToxicPanda va pouvoir voir tout ce qui s’affiche à l’écran, cliquer à la place de l’utilisateur, faire défiler les pages, remplir des champs et surtout superposer des écrans factices au‑dessus de n’importe quelle application… notamment les applis bancaires. Le virus va promptement collecter la liste de toutes les applications installées sur le smartphone Android, de manière à préparer la suite de l’attaque.
Dès que la victime lance une des applications visées, une page HTML qui imite l’interface de celle-ci à la perfection va apparaître à l’écran. Cette page copie surtout l’écran de connexion de la banque ou de l’application financière dans le viseur des truands. Cachée par la fausse page, la véritable application est invisible. De facto, la cible se retrouve à communiquer ses identifiants, et ses mots de passe, aux pirates. Ceux-ci peuvent alors s’en servir pour réaliser des transferts frauduleux à partir du compte bancaire.
En parallèle, le logiciel malveillant prend le contrôle total du smartphone. ToxicPanda va demander les droits administrateur de l’appareil, puis pour réinitialiser le code de verrouillage du téléphone. Les pirates peuvent donc déverrouiller le smartphone à leur guise. Avec les identifiants bancaires et les codes PIN changés, ils peuvent se connecter aux comptes, valider des paiements, voire vider des portefeuilles crypto.
Près de 350 apps dans le viseur du virus
Selon les chercheurs, ToxicPanda 2.0 vise désormais 349 applications financières en provenance de 16 pays différents. Certaines des banques et des institutions visées se trouvent dans des pays d’Europe, comme l’Italie, le Portugal, l’Espagne, et la France.
La meilleure parade contre ces arnaques est très simple : ne téléchargez jamais d’applications en dehors du Play Store. Par ailleurs, méfiez-vous particulièrement des apps qui réclament des autorisations sensibles, comme des accès aux services d’accessibilité.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
