Un acteur de la cybercriminalit\u00e9 d’origine mexicaine a \u00e9t\u00e9 li\u00e9 \u00e0 une campagne de logiciels malveillants mobiles Android ciblant les institutions financi\u00e8res du monde entier, mais avec un accent particulier sur les banques espagnoles et chiliennes, de juin 2021 \u00e0 avril 2023.<\/p>\n
L’activit\u00e9 est attribu\u00e9e \u00e0 un acteur dont le nom de code N\u00e9o_Net<\/strong>, selon le chercheur en s\u00e9curit\u00e9 Pol Thill. Les r\u00e9sultats ont \u00e9t\u00e9 publi\u00e9s par SentinelOne \u00e0 la suite d’un Malware Research Challenge en collaboration avec vx-underground.<\/p>\n “Malgr\u00e9 l’utilisation d’outils relativement peu sophistiqu\u00e9s, Neo_Net a atteint un taux de r\u00e9ussite \u00e9lev\u00e9 en adaptant son infrastructure \u00e0 des cibles sp\u00e9cifiques, entra\u00eenant le vol de plus de 350\u00a0000\u00a0EUR sur les comptes bancaires des victimes et compromettant les informations d’identification personnelle (IPI) de milliers de victimes”, a d\u00e9clar\u00e9 Thill. a dit<\/a>.<\/p>\n Certaines des principales cibles comprennent des banques telles que Santander, BBVA, CaixaBank, Deutsche Bank, Cr\u00e9dit Agricole et ING.<\/p>\n Neo_Net, li\u00e9 \u00e0 un acteur hispanophone r\u00e9sidant au Mexique, s’est impos\u00e9 comme un cybercriminel chevronn\u00e9, se livrant \u00e0 la vente de panneaux de phishing, de donn\u00e9es de victimes compromises \u00e0 des tiers et d’une offre de smishing en tant que service appel\u00e9e Ankarex qui est con\u00e7u pour cibler un certain nombre de pays \u00e0 travers le monde.<\/p>\n Le point d’entr\u00e9e initial de l’attaque en plusieurs \u00e9tapes est le phishing par SMS, dans lequel l’auteur de la menace utilise diverses tactiques d’effarouchement pour inciter les destinataires involontaires \u00e0 cliquer sur de fausses pages de destination afin de r\u00e9colter et d’exfiltrer leurs informations d’identification via un bot Telegram.<\/p>\n “Les pages de phishing ont \u00e9t\u00e9 m\u00e9ticuleusement configur\u00e9es \u00e0 l’aide des panneaux de Neo_Net, PRIV8, et ont mis en \u0153uvre de multiples mesures de d\u00e9fense, notamment le blocage des demandes des agents utilisateurs non mobiles et la dissimulation des pages aux robots et aux scanners de r\u00e9seau”, a expliqu\u00e9 Thill. <\/p>\n “Ces pages ont \u00e9t\u00e9 con\u00e7ues pour ressembler \u00e9troitement \u00e0 de v\u00e9ritables applications bancaires, compl\u00e9t\u00e9es par des animations pour cr\u00e9er une fa\u00e7ade convaincante.”<\/p>\n Les acteurs de la menace ont \u00e9galement \u00e9t\u00e9 observ\u00e9s en train de tromper les clients des banques pour qu’ils installent des applications Android malveillantes sous le couvert d’un logiciel de s\u00e9curit\u00e9 qui, une fois install\u00e9, demande des autorisations SMS pour capturer les codes d’authentification \u00e0 deux facteurs (2FA) bas\u00e9s sur SMS envoy\u00e9s par la banque.<\/p>\n La plateforme Ankarex, pour sa part, est active depuis mai 2022. Elle est activement promue sur une cha\u00eene Telegram qui compte environ 1 700 abonn\u00e9s.<\/p>\n “Le service lui-m\u00eame est accessible chez ankarex[.]net, et une fois enregistr\u00e9s, les utilisateurs peuvent t\u00e9l\u00e9charger des fonds en utilisant des transferts de crypto-monnaie et lancer leurs propres campagnes Smishing en sp\u00e9cifiant le contenu SMS et les num\u00e9ros de t\u00e9l\u00e9phone cibles \u00bb, a d\u00e9clar\u00e9 Thill.<\/p>\n Le d\u00e9veloppement intervient alors que ThreatFabric a d\u00e9taill\u00e9 une nouvelle campagne de chevaux de Troie bancaires Anatsa (alias TeaBot) qui cible les clients bancaires aux \u00c9tats-Unis, au Royaume-Uni, en Allemagne, en Autriche et en Suisse depuis d\u00e9but mars 2023.<\/p>\n <\/p>\n