ToxicPanda 2.0 est une nouvelle variante d’un cheval de Troie bancaire Android conçue pour combiner le contrôle à distance d’un terminal et l’interception de données saisies dans des applications financières. D’après les analyses publiées par Zimperium et Malwarebytes, cette version élargit le périmètre visé et ajoute des mécanismes destinés à automatiser des actions sur l’appareil compromis.
En bref
- ToxicPanda 2.0 est présenté comme un cheval de Troie bancaire Android disposant de capacités d’accès à distance.
- La variante prend en charge 167 commandes exécutables à distance et vise 349 applications financières dans 16 pays.
- Le malware abuse du service d’accessibilité Android et de superpositions d’interface pour interagir avec les applications ciblées.
- Son programme d’installation demande notamment des privilèges VPN avant d’installer sa charge utile malveillante.
Le cas illustre la place désormais centrale des applications mobiles dans les usages financiers. Une même interface peut réunir accès bancaire, paiement, portefeuille électronique et données d’authentification, ce qui en fait une cible particulière pour les logiciels malveillants capables d’observer ou de reproduire les écrans affichés.
Un périmètre de ciblage élargi pour les services financiers
Selon Zimperium, ToxicPanda 2.0 prend en charge 167 commandes pouvant être exécutées à distance. Les chercheurs indiquent également que le malware cible 349 applications bancaires, financières, de paiement, de portefeuille électronique et de cryptomonnaie dans 16 pays. Ce chiffre décrit une liste de services ciblés par la campagne analysée, non le nombre d’appareils touchés.
Après son installation, le malware est en mesure d’énumérer les applications présentes sur le téléphone. Il transmet alors les noms de paquet et les icônes au serveur de commande et de contrôle. Cette étape permet aux opérateurs d’identifier les applications financières installées avant d’activer, le cas échéant, une interface frauduleuse adaptée à la cible détectée.
Le mécanisme repose sur des superpositions, aussi appelées overlays. Lorsqu’une application ciblée est ouverte, ToxicPanda 2.0 peut récupérer depuis son infrastructure une interface HTML qui imite un écran de connexion ou de transaction. Les informations saisies dans cette interface, comme des identifiants, mots de passe ou codes PIN, peuvent ensuite être transmises aux opérateurs du malware.
L’accessibilité Android détournée pour observer et agir
La capacité d’action de ToxicPanda 2.0 s’appuie notamment sur le service d’accessibilité d’Android. Cette fonction légitime est destinée à faciliter l’interaction avec l’appareil. Dans le scénario décrit par Malwarebytes, l’autorisation accordée à une application malveillante lui permet d’inspecter des éléments de l’interface, d’observer l’activité applicative, d’automatiser des interactions et d’afficher du contenu trompeur au-dessus d’applications légitimes.
Les chercheurs de Zimperium décrivent aussi un usage de cette accessibilité pour automatiser des actions liées au débogage sans fil Android. Le malware peut repérer certains éléments dans les réglages, activer le débogage sans fil et utiliser Android Debug Bridge, ou ADB, afin d’obtenir des capacités shell sur l’appareil compromis. Cette fonction de débogage existe dans Android pour des usages de développement, mais elle est ici intégrée à la chaîne de contrôle documentée par les chercheurs.
La variante comporte par ailleurs une fonction de récupération des éléments d’authentification de l’écran de verrouillage. Une superposition peut imiter l’écran natif et chercher à recueillir un code PIN, un schéma ou un mot de passe. Zimperium mentionne également des interfaces de fausse mise à jour système utilisées dans certains échantillons pour masquer des actions réalisées en arrière-plan.
Une installation pensée comme une chaîne d’autorisations
Le programme d’installation de ToxicPanda 2.0 ne se limite pas à déposer directement sa charge utile. Les analyses disponibles décrivent une fausse interface d’installation affichée dans une vue Web, suivie d’une demande de privilèges VPN. Une fois cet environnement préparé, l’application déchiffre et extrait la charge utile intégrée, puis demande l’autorisation du service d’accessibilité.
Cette succession éclaire la logique de la campagne : les capacités de contrôle, les superpositions ciblant les services financiers et les interactions avec les réglages système ne sont pas présentées comme des fonctions isolées. Elles forment un ensemble reposant sur l’installation du composant malveillant et sur l’obtention des autorisations nécessaires à son fonctionnement.
Pour les équipes qui conçoivent ou exploitent des services mobiles financiers, ToxicPanda 2.0 rappelle surtout que la sécurité du parcours ne se limite pas à l’écran de connexion de l’application. L’environnement du téléphone, les permissions accordées et la possibilité de superposer une interface constituent aussi des éléments du contexte dans lequel l’utilisateur saisit ses informations.
Photo à la une. Source: Pexels. Attribution: Alok Sharma. Licence: Pexels License.
