Le cheval de Troie bancaire Android connu sous le nom de Anatsa<\/strong> a \u00e9largi son champ d’action pour inclure la Slovaquie, la Slov\u00e9nie et la Tch\u00e9quie dans le cadre d’une nouvelle campagne observ\u00e9e en novembre 2023.<\/p>\n “Certains des droppers de la campagne ont r\u00e9ussi \u00e0 exploiter le service d’accessibilit\u00e9, malgr\u00e9 les m\u00e9canismes am\u00e9lior\u00e9s de d\u00e9tection et de protection de Google Play”, ThreatFabric dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n “Tous les droppers de cette campagne ont d\u00e9montr\u00e9 leur capacit\u00e9 \u00e0 contourner les param\u00e8tres restreints du service d’accessibilit\u00e9 dans Android 13.” La campagne, au total, implique cinq compte-gouttes avec plus de 100\u00a0000 installations totales.<\/p>\n \u00c9galement connue sous les noms de TeaBot et Toddler, Anatsa est connue pour \u00eatre distribu\u00e9e sous le couvert d’applications apparemment anodines sur le Google Play Store. Ces applications, appel\u00e9es droppers, facilitent l’installation du malware en contournant les mesures de s\u00e9curit\u00e9 impos\u00e9es par Google qui cherchent \u00e0 accorder des autorisations sensibles.<\/p>\n En juin 2023, la soci\u00e9t\u00e9 n\u00e9erlandaise de s\u00e9curit\u00e9 mobile a d\u00e9voil\u00e9 une campagne Anatsa ciblant les clients bancaires aux \u00c9tats-Unis, au Royaume-Uni, en Allemagne, en Autriche et en Suisse au moins depuis mars 2023, \u00e0 l’aide d’applications compte-gouttes qui ont \u00e9t\u00e9 collectivement t\u00e9l\u00e9charg\u00e9es plus de 30 000 fois sur le Play Store.<\/p>\n Anatsa est dot\u00e9 de fonctionnalit\u00e9s permettant de prendre le contr\u00f4le total des appareils infect\u00e9s et d’ex\u00e9cuter des actions au nom d’une victime. Il peut \u00e9galement voler des informations d\u2019identification pour lancer des transactions frauduleuses.<\/p>\n La derni\u00e8re it\u00e9ration observ\u00e9e en novembre 2023 n’est pas diff\u00e9rente dans la mesure o\u00f9 l’un des compte-gouttes s’est fait passer pour une application de nettoyage de t\u00e9l\u00e9phone nomm\u00e9e \u00ab Phone Cleaner – File Explorer \u00bb (nom du package \u00ab com.volabs.androidcleaner \u00bb) et a exploit\u00e9 une technique appel\u00e9e gestion des versions pour introduire son comportement malveillant.<\/p>\n Bien que l’application ne soit plus disponible au t\u00e9l\u00e9chargement depuis la vitrine officielle pour Android, elle peut toujours \u00eatre t\u00e9l\u00e9charg\u00e9e via d’autres sources tierces sommaires.<\/p>\n Selon statistiques<\/a> Disponible sur la plateforme d’intelligence des applications AppBrain, l’application aurait \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9e environ 12 000 fois au cours de sa disponibilit\u00e9 sur le Google Play Store, entre le 13 et le 27 novembre, date \u00e0 laquelle elle n’\u00e9tait pas publi\u00e9e.<\/p>\n “Au d\u00e9part, l’application semblait inoffensive, sans code malveillant et son service d’accessibilit\u00e9 ne se livrait \u00e0 aucune activit\u00e9 nuisible”, ont d\u00e9clar\u00e9 les chercheurs de ThreatFabric.<\/p>\n “Cependant, une semaine apr\u00e8s sa sortie, une mise \u00e0 jour a introduit un code malveillant. Cette mise \u00e0 jour a modifi\u00e9 la fonctionnalit\u00e9 AccessibilityService, lui permettant d’ex\u00e9cuter des actions malveillantes telles que cliquer automatiquement sur des boutons une fois qu’il a re\u00e7u une configuration du [command-and-control] serveur.”<\/p>\n Ce qui rend le compte-gouttes remarquable, c’est que son abus du service d’accessibilit\u00e9 est adapt\u00e9 aux appareils Samsung, ce qui sugg\u00e8re qu’il a \u00e9t\u00e9 con\u00e7u pour cibler exclusivement les combin\u00e9s fabriqu\u00e9s par l’entreprise \u00e0 un moment donn\u00e9, bien que d’autres compte-gouttes utilis\u00e9s dans la campagne se soient r\u00e9v\u00e9l\u00e9s ind\u00e9pendants du fabricant. .<\/p>\n Les droppers sont \u00e9galement capables de contourner les param\u00e8tres restreints d’Android 13 en imitant le processus utilis\u00e9 par les places de march\u00e9 pour installer de nouvelles applications sans que leur acc\u00e8s aux fonctionnalit\u00e9s du service d’accessibilit\u00e9 soit d\u00e9sactiv\u00e9, comme observ\u00e9 pr\u00e9c\u00e9demment dans le cas de services dropper comme SecuriDropper.<\/p>\n “Ces acteurs pr\u00e9f\u00e8rent les attaques concentr\u00e9es sur des r\u00e9gions sp\u00e9cifiques plut\u00f4t que de se propager \u00e0 l’\u00e9chelle mondiale, changeant p\u00e9riodiquement leur concentration”, a d\u00e9clar\u00e9 ThreatFabric. “Cette approche cibl\u00e9e leur permet de se concentrer sur un nombre limit\u00e9 d’organismes financiers, ce qui entra\u00eene un nombre \u00e9lev\u00e9 de cas de fraude en peu de temps.”<\/p>\n Ce d\u00e9veloppement intervient alors que Fortinet FortiGuard Labs a d\u00e9taill\u00e9 une autre campagne qui distribue le cheval de Troie d’acc\u00e8s \u00e0 distance SpyNote en imitant un service de portefeuille de crypto-monnaie l\u00e9gitime bas\u00e9 \u00e0 Singapour, connu sous le nom d’imToken, pour remplacer les adresses de portefeuille de destination par des adresses contr\u00f4l\u00e9es par des acteurs et effectuer des transferts d’actifs illicites.<\/p>\n “Comme beaucoup de malware Android aujourd’hui, ce malware abuse de l’API d’accessibilit\u00e9”, chercheuse en s\u00e9curit\u00e9 Axelle Apvrille dit<\/a>. “Cet exemple SpyNote utilise l’API d’accessibilit\u00e9 pour cibler les c\u00e9l\u00e8bres portefeuilles cryptographiques.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Le-cheval-de-Troie-Android-Anatsa-contourne-la-securite-de.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n