Ce cheval de Troie bancaire active un VPN pour que Google ne puisse pas vérifier son travail
Le premier mouvement de ToxicPanda 2.0 est le plus astucieux. Avant d'installer la partie qui vole les données, il affiche un faux écran d'installation demandant l'autorisation de configurer un VPN. Dès que vous acceptez, il se sert de cette autorisation pour couper le trafic vers Google Play et Google Play Services, c'est-à-dire exactement ce qui aurait inspecté et signalé la suite. Alors seulement il déballe sa charge utile et réclame les autorisations d'accessibilité.
L'équipe zLabs de Zimperium a publié l'analyse la semaine dernière. La première version de ToxicPanda visait une poignée d'applications bancaires. Celle-ci embarque 167 commandes à distance et cible 349 applications bancaires, financières, de portefeuille électronique et de cryptomonnaie dans 16 pays. Elle superpose des couches invisibles par-dessus la vraie application pour capter ce que vous tapez, affiche un faux écran de verrouillage très convaincant pour récupérer votre code PIN (une routine visant plus de 140 applications), détourne le pont de débogage d'Android pour obtenir un accès de niveau shell au téléphone, et masque son activité derrière un faux écran de « mise à jour système ». Il existe même une commande baptisée autoBoot qui contourne les règles d'économie de batterie agressives des téléphones Xiaomi, OPPO, Vivo, Samsung et Huawei. Les installateurs étaient distribués depuis des buckets de stockage Amazon AWS.
Rien de tout cela n'arrive par le Play Store. Cela arrive parce que quelqu'un touche un lien et installe un APK à la main : une « nouvelle application bancaire », un suivi de colis, une version gratuite d'un jeu payant. La défense est donc ennuyeuse et elle marche. Installez vos applications Android depuis le Play Store ou la boutique de votre fabricant, et nulle part ailleurs, et considérez toute demande de configurer un VPN ou d'activer l'accessibilité comme un arrêt net, parce que très peu de choses légitimes ont besoin de l'une, et presque rien des deux.
Téléphones et PC partagent les mêmes comptes, et c'est là que cette affaire touche votre bureau. Le contrôle Confidentialité et comptes de Tendvane passe en revue la façon dont vous êtes connecté sur Windows et ce que ce compte expose, ce qui vaut un coup d'oeil si vous gérez aussi votre banque sur grand écran.