Ce logiciel malveillant n'imite pas votre application bancaire. Il la remplace.

La plupart des logiciels malveillants bancaires sur Android dessinent un faux écran par dessus la vraie application et espèrent que vous y tapiez votre mot de passe. Hirudo, documenté par la société néerlandaise ThreatFabric le 14 octobre, se passe complètement de cette approche. Il repère quelle application bancaire vous avez déjà, vous montre ce qui ressemble à une invite de mise à jour, vous fait désinstaller la vraie, et installe sa propre copie modifiée au même endroit.

Cela change tout ce avec quoi l'application pouvait se défendre. Le code malveillant tourne désormais dans le processus même de l'application bancaire, avec un moteur de hooking qui falsifie le certificat de signature, renvoie une liste vide quand l'application demande quels services d'accessibilité sont actifs, retire l'indicateur qui bloque les captures d'écran, et redirige le contrôle Play Integrity de Google vers un serveur tenu par les attaquants. L'application vérifie si elle a été altérée et reçoit une réponse rassurante, parce qu'elle interroge l'altération elle même.

La suite est la liste habituelle, peu réjouissante: identifiants, codes PIN de paiement, code de déverrouillage de l'appareil, SMS, contrôle à distance de l'écran en direct, et accès aux deux caméras. Huit banques indonésiennes sont visées pour l'instant, avec des indices pointant vers la Chine, l'Inde, le Mexique, le Maroc et la Thaïlande. Arriver sur le téléphone exige toujours que quelqu'un installe quelque chose, et le chemin passe par une publicité sur une plateforme Meta, une page conçue pour ressembler à Google Play, et une application de shopping ou de courtes séries qui n'est qu'un chargeur.

Ce dernier point voyage bien. Une publicité, une page qui ressemble à une boutique officielle, puis une invitation à installer une mise à jour que la boutique n'a jamais proposée: c'est le même enchaînement sur Windows, et il fonctionne toujours. Le contrôle de sécurité de Tendvane signale les programmes arrivés sur votre PC par cette voie, même si supprimer un logiciel malveillant reste le travail de votre antivirus.