Les auteurs de la menace derri\u00e8re le cheval de Troie bancaire Android PixPirate exploitent une nouvelle astuce pour \u00e9chapper \u00e0 la d\u00e9tection sur les appareils compromis et r\u00e9colter des informations sensibles aupr\u00e8s des utilisateurs au Br\u00e9sil.<\/p>\n
Cette approche lui permet de masquer l’ic\u00f4ne de l’application malveillante sur l’\u00e9cran d’accueil de l’appareil de la victime, a d\u00e9clar\u00e9 IBM dans un rapport technique publi\u00e9 aujourd’hui.<\/p>\n
“Gr\u00e2ce \u00e0 cette nouvelle technique, lors des phases de reconnaissance et d’attaque de PixPirate, la victime reste inconsciente des op\u00e9rations malveillantes que ce malware effectue en arri\u00e8re-plan”, explique le chercheur en s\u00e9curit\u00e9 Nir Somech. dit<\/a>.<\/p>\n PixPirate, qui a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par Cleafy en f\u00e9vrier 2023, est connu pour son abus des services d’accessibilit\u00e9 d’Android afin d’effectuer secr\u00e8tement des transferts de fonds non autoris\u00e9s \u00e0 l’aide de la plateforme de paiement instantan\u00e9 PIX lorsqu’une application bancaire cibl\u00e9e est ouverte.<\/p>\n Le logiciel malveillant en constante mutation est \u00e9galement capable de voler les identifiants bancaires en ligne et les informations de carte de cr\u00e9dit des victimes, ainsi que de capturer les frappes au clavier et d’intercepter les messages SMS pour acc\u00e9der aux codes d’authentification \u00e0 deux facteurs.<\/p>\n G\u00e9n\u00e9ralement distribu\u00e9 via SMS et WhatsApp, le flux d’attaque implique l’utilisation d’une application dropper (alias t\u00e9l\u00e9chargeur) con\u00e7ue pour d\u00e9ployer la charge utile principale (alias droppee) afin de r\u00e9aliser la fraude financi\u00e8re.<\/p>\n “Habituellement, le t\u00e9l\u00e9chargeur est utilis\u00e9 pour t\u00e9l\u00e9charger et installer le droppee, et \u00e0 partir de ce moment, le droppee est le principal acteur menant toutes les op\u00e9rations frauduleuses et le t\u00e9l\u00e9chargeur n’a plus d’importance”, a expliqu\u00e9 Somech.<\/p>\n “Dans le cas de PixPirate, le t\u00e9l\u00e9chargeur est responsable non seulement du t\u00e9l\u00e9chargement et de l’installation du droppee, mais \u00e9galement de son ex\u00e9cution. Le t\u00e9l\u00e9chargeur joue un r\u00f4le actif dans les activit\u00e9s malveillantes du droppee car ils communiquent entre eux et envoient des commandes \u00e0 ex\u00e9cuter.”<\/p>\n L’application de t\u00e9l\u00e9chargement APK, une fois lanc\u00e9e, invite la victime \u00e0 mettre \u00e0 jour l’application pour soit r\u00e9cup\u00e9rer le composant PixPirate \u00e0 partir d’un serveur contr\u00f4l\u00e9 par un acteur, soit l’installer s’il est int\u00e9gr\u00e9 en lui-m\u00eame.<\/p>\n Ce qui a chang\u00e9 dans la derni\u00e8re version du droppee, c’est l’absence d’activit\u00e9 avec l’action “android.intent.action.Main” et la cat\u00e9gorie “android.intent.category.LAUNCHER” qui permet<\/a> un utilisateur de lancer une application depuis l’\u00e9cran d’accueil en appuyant sur son ic\u00f4ne.<\/p>\n En d’autres termes, la cha\u00eene d’infection n\u00e9cessite que le t\u00e9l\u00e9chargeur et le droppee travaillent en tandem, le premier \u00e9tant responsable de l’ex\u00e9cution de l’APK PixPirate en se liant \u00e0 un fichier APK. service<\/a> export\u00e9 par le droppee.<\/p>\n “Plus tard, pour maintenir la persistance, le droppee est \u00e9galement d\u00e9clench\u00e9 par les diff\u00e9rents r\u00e9cepteurs qu’il a enregistr\u00e9s”, a d\u00e9clar\u00e9 Somech. “Les r\u00e9cepteurs sont configur\u00e9s pour \u00eatre activ\u00e9s en fonction de diff\u00e9rents \u00e9v\u00e9nements qui se produisent dans le syst\u00e8me et pas n\u00e9cessairement par le t\u00e9l\u00e9chargeur qui a initialement d\u00e9clench\u00e9 l’ex\u00e9cution du droppee.”<\/p>\n “Cette technique permet au droppee PixPirate de s’ex\u00e9cuter et de masquer son existence m\u00eame si la victime supprime le t\u00e9l\u00e9chargeur PixPirate de son appareil.”<\/p>\n Cette \u00e9volution intervient alors que les banques d’Am\u00e9rique latine (LATAM) sont devenues la cible d’un nouveau malware appel\u00e9 Faux texte<\/a> qui utilise une extension Microsoft Edge malveillante nomm\u00e9e SATiD pour mener des attaques d’homme dans le navigateur et par injection Web dans le but de r\u00e9cup\u00e9rer les informations d’identification saisies sur le site bancaire cibl\u00e9.<\/p>\n Il convient de noter que ID SAT<\/a> est un service propos\u00e9 par le Service de l’administration fiscale (SAT) du Mexique pour g\u00e9n\u00e9rer et mettre \u00e0 jour des signatures \u00e9lectroniques pour la d\u00e9claration de revenus en ligne.<\/p>\n Dans certains cas, Fakext est con\u00e7u pour afficher une superposition invitant la victime \u00e0 t\u00e9l\u00e9charger un outil d’acc\u00e8s \u00e0 distance l\u00e9gitime en pr\u00e9tendant \u00eatre l’\u00e9quipe d’assistance informatique de la banque, permettant ainsi aux acteurs malveillants de commettre une fraude financi\u00e8re.<\/p>\n La campagne \u2013 active depuis au moins novembre 2023 \u2013 distingue 14 banques op\u00e9rant dans la r\u00e9gion, dont une majorit\u00e9 situ\u00e9e au Mexique. L’extension a depuis \u00e9t\u00e9 supprim\u00e9e de la boutique Edge Add-ons.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/03\/Cheval-de-Troie-bancaire-Android-PixPirate-utilisant-une-nouvelle-tactique.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n