Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert une version mise \u00e0 jour d’un malware Android appel\u00e9 Tgtoxique<\/strong> (AKA ToxicPanda), indiquant que les acteurs de la menace derri\u00e8re lui apportent continuellement des modifications en r\u00e9ponse aux rapports publics.<\/p>\n “Les modifications observ\u00e9es dans les charges utiles tgtoxiques refl\u00e8tent la surveillance continue de l’intelligence open source des acteurs et d\u00e9montrent leur engagement \u00e0 am\u00e9liorer les capacit\u00e9s du malware pour am\u00e9liorer les mesures de s\u00e9curit\u00e9 et garder les chercheurs \u00e0 distance”, Intel 471 dit<\/a> Dans un rapport publi\u00e9 cette semaine.<\/p>\n TGTOXIC a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par Trend Micro au d\u00e9but de 2023, le d\u00e9crivant comme un cheval de Troie bancaire capable de voler des titres de comp\u00e9tences et de fonds dans des portefeuilles cryptographiques ainsi que des applications de banque et de financement. Il est d\u00e9tect\u00e9 dans la nature depuis au moins juillet 2022, se concentrant principalement sur les utilisateurs mobiles \u00e0 Ta\u00efwan, en Tha\u00eflande et en Indon\u00e9sie.<\/p>\n Puis, en novembre 2024, la soci\u00e9t\u00e9 italienne de pr\u00e9vention de la fraude en ligne Cleafy a d\u00e9taill\u00e9 une variante mise \u00e0 jour avec de vastes fonctionnalit\u00e9s de collecte de donn\u00e9es, tout en \u00e9largissant sa port\u00e9e op\u00e9rationnelle pour inclure l’Italie, le Portugal, Hong Kong, l’Espagne et le P\u00e9rou. Le malware est \u00e9valu\u00e9 comme le travail d’un acteur de menace chinois.<\/p>\n La derni\u00e8re analyse d’Intel 471 a r\u00e9v\u00e9l\u00e9 que le malware est distribu\u00e9 via des fichiers APK compte-gouttes via des messages SMS ou des sites Web de phishing. Cependant, le m\u00e9canisme de livraison exact reste inconnu.<\/p>\n Certaines des am\u00e9liorations notables incluent l’am\u00e9lioration des capacit\u00e9s de d\u00e9tection des \u00e9mulateurs et les mises \u00e0 jour du m\u00e9canisme de g\u00e9n\u00e9ration d’URL de commande et de contr\u00f4le (C2), soulignant les efforts en cours pour contourner les efforts d’analyse.<\/p>\n “Le malware effectue une \u00e9valuation approfondie des capacit\u00e9s mat\u00e9rielles et syst\u00e8me de l’appareil pour d\u00e9tecter l’\u00e9mulation”, a d\u00e9clar\u00e9 Intel 471. “Le malware examine un ensemble de propri\u00e9t\u00e9s de dispositif, notamment les valeurs de marque, de mod\u00e8le, de fabricant et d’empreintes digitales pour identifier les \u00e9carts qui sont typiques des syst\u00e8mes imit\u00e9s.”<\/p>\n Un autre changement significatif est le passage des domaines C2 \u00e0 code dur int\u00e9gr\u00e9s dans la configuration du malware \u00e0 l’utilisation de forums tels que le forum des d\u00e9veloppeurs de la communaut\u00e9 Atlassian pour cr\u00e9er des profils de faux qui incluent une cha\u00eene crypt\u00e9e pointant vers le serveur C2 r\u00e9el.<\/p>\n L’APK TGTOXIQUE est con\u00e7u pour s\u00e9lectionner au hasard l’une des URL du forum communautaire fournie dans la configuration, qui sert de r\u00e9solveur de chute mort pour le domaine C2.<\/p>\n La technique offre plusieurs avantages, \u00e9tant avant tout qu’il permet aux acteurs de menace de modifier plus facilement les serveurs C2 en mettant simplement \u00e0 jour le profil utilisateur de la communaut\u00e9 pour pointer le nouveau domaine C2 sans avoir \u00e0 \u00e9mettre de mises \u00e0 jour du malware lui-m\u00eame.<\/p>\n “Cette m\u00e9thode \u00e9tend consid\u00e9rablement la dur\u00e9e de vie op\u00e9rationnelle des \u00e9chantillons de logiciels malveillants, en les gardant fonctionnels tant que les profils utilisateur de ces forums restent actifs”, a d\u00e9clar\u00e9 Intel 471.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/La-nouvelle-variante-de-Troie-bancaire-tgtoxique-evolue-avec-des.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n