ToxicPanda 2.0 : le cheval de Troie bancaire exploitant secrètement les outils cachés d’An
Autrefois limité à l’Europe, le malware ToxicPanda s’est transformé en une menace mondiale. L’équipe zLabs de Zimperium a documenté ToxicPanda 2.0, une version refondue qui cible désormais 349 applications financières dans 16 pays – contre seulement 16 dans sa précédente itération. Cette mise à jour ne se limite pas à une augmentation d’échelle, mais aussi de sophistication : les attaquants exploitent désormais le cadre de débogage sans fil d’Android pour contourner les mesures de sécurité et obtenir un accès quasi total à l’appareil.
Une nouvelle stratégie pour le cheval de Troie
ToxicPanda 2.0 commence par se présenter comme un dropper, se faisant passer pour une application légitime et demandant des autorisations VPN via un faux écran d’installation. Une fois accordées, le malware désactive discrètement Google Play Protect et déchiffre sa véritable charge utile cachée dans les fichiers de l’application. Cette charge utile abuse ensuite du service Accessibilité d’Android – normalement utilisé par les lecteurs d’écran – pour surveiller chaque interaction à l’écran et récupérer des identifiants via des attaques par superposition. Ce qui distingue cette version, c’est son utilisation agressive du cadre de débogage sans fil, une fonctionnalité que la plupart des utilisateurs n’activent jamais. Le malware automatise l’ensemble du processus : activation des options pour développeurs, activation du débogage sans fil et récupération du code d’appairage à l’écran pour établir une porte dérobée sans que la victime ne s’en aperçoive.
D’une nuisance régionale à un acteur mondial
L’expansion du cheval de Troie reflète une tendance plus large dans le domaine des malwares mobiles : des menaces plus petites et spécifiques à une région sont désormais réutilisées dans des opérations à grande échelle touchant plusieurs pays. La version 2.0 de ToxicPanda dispose désormais d’un ensemble de 167 instructions à distance, offrant aux attaquants un contrôle granulaire sur les appareils infectés. Des analyses antérieures de Cleafy avaient signalé certaines commandes comme non implémentées, mais le rapport de Zimperium confirme qu’elles sont désormais pleinement opérationnelles, élargissant ainsi les capacités de fraude et de contrôle à distance du malware.
Pourquoi cela compte
ToxicPanda 2.0 illustre comment les attaquants exploitent des fonctionnalités obscures mais puissantes d’Android pour contourner les protections de sécurité. Le passage du ciblage d’une poignée de banques européennes à 349 applications dans 16 pays témoigne d’une professionnalisation de la criminalité mobile, où le malware n’est plus un outil rudimentaire, mais un instrument de précision. Pour les utilisateurs, cela signifie que les risques ne se limitent plus aux emails d’hameçonnage ou aux fausses applications : ce sont désormais les recoins cachés du système d’exploitation qui nécessitent une attention accrue. Pour les défenseurs, le défi est clair : les méthodes de détection traditionnelles peinent à suivre le rythme d’un malware qui détourne des outils système légitimes à des fins malveillantes.
Source : Security Affairs. Synthèse éditoriale assistée par IA — TechnoExpress.