Les chercheurs de Cyfirma ont identifié le cheval de Troie bancaire BankBot-YNRK, qui cible les appareils fonctionnant sous Android 13 et versions antérieures. Le malware exploite les vulnérabilités des services d’accessibilité pour obtenir des autorisations élevées sans le consentement explicite de l’utilisateur. Il se concentre sur le vol d’informations d’identification bancaires et l’accès aux portefeuilles de crypto-monnaie.
Le code malveillant lance des analyses environnementales peu de temps après l’installation. Il détecte les émulateurs pour éviter l’analyse sandbox. Il identifie ensuite les modèles de constructeurs tels que Samsung, Oppo et Google. Cette adaptation permet des attaques personnalisées.
- Vérifie l’environnement réel ou émulé.
- Identifie un fabricant et un modèle spécifiques.
- Personnalise le code pour une plus grande efficacité.
Mécanismes de masquage et de persistance des logiciels malveillants
BankBot-YNRK désactive les notifications des applications installées. Il coupe les paramètres sonores pour fonctionner sans alertes.
Le cheval de Troie modifie JobScheduler d’Android. Cette modification garantit le démarrage automatique du système. Il maintient une connexion constante avec le serveur de commande et de contrôle.
Les criminels envoient des commandes à distance via C2. Ils simulent des sonneries et installent des APK supplémentaires. Le malware exfiltre les contacts, les SMS et la localisation de l’appareil.
Exploration de l’accessibilité pour les privilèges administratifs
La commande OPEN_ACCESSIBILITY reDirige l’utilisateur vers l’écran des paramètres. Le malware demande l’activation des services d’accessibilité.
Une fois les privilèges obtenus, il ouvre périodiquement des applications bancaires. Capture les écrans contenant des données sensibles affichées.
Le cheval de Troie tente d’obtenir des phrases de départ à partir de portefeuilles cryptographiques. Il évite les interactions avec la biométrie pour minimiser la détection. Des transactions non autorisées se produisent si la biométrie n’est pas configurée.
Sans biométrie active, le risque de vol augmente considérablement. Le malware effectue directement les transferts.
Capacités à distance étendues de BankBot-YNRK
Le malware gère les installations et désinstallations d’APK. Il met à jour et ouvre les applications sur commande.
Interagissez avec l’interface en simulant des gestes et des touches. Déverrouille l’écran et navigue dans les menus du système.
- Renvoyer des appels et envoyer des SMS.
- Capture des photos et masque les fenêtres flottantes.
- Insérer du texte dans les champs du formulaire.
- Gère les téléchargements et les exécutions de fichiers.
BankBot-YNRK se présente comme une application du gouvernement indien. Cette tactique contourne les vérifications initiales sur les installations APK.
Il apparaît dans des packages spécifiques comme com.westpacb4a.payqingynrk1b4a. D’autres incluent com.westpacf78.payqingynrk1f78.
Mesures de prévention contre les chevaux de Troie bancaires
Installez uniquement des applications à partir du Google Play Store. Évitez les sources inconnues pour réduire l’exposition aux APK malveillants.
Activez la vérification en deux étapes sur les comptes financiers. Configurez la biométrie dans les portefeuilles numériques pour bloquer les accès non autorisés.
Gardez votre système Android à jour avec les correctifs de sécurité. Utilisez des antivirus fiables pour une analyse régulière des appareils.
