Un logiciel malveillant destiné aux services bancaires Android alerte les utilisateurs de menaces dans 21 pays.

Un nouveau rapport d'Infoblox Threat Intel, une division de recherche en sécurité d'Infoblox (États-Unis), a révélé un lien inquiétant entre deux problèmes apparemment distincts : des centres d'escroquerie au travail forcé en Asie du Sud-Est et une campagne mondiale de logiciels malveillants bancaires Android.

Selon une étude menée en collaboration avec l'Organisation anti-fraude (Vietnam), c'est la première fois que des experts disposent de preuves claires montrant que des victimes contraintes de travailler dans des « centres de fraude » sont exploitées pour faire fonctionner des systèmes de distribution de logiciels malveillants, ciblant directement les utilisateurs de services bancaires numériques.

Un réseau de fraude transnational organisé.

Le rapport indique que l'opération de diffusion de logiciels malveillants est bien organisée et de grande envergure. Les groupes impliqués créent en permanence de faux noms de domaine, environ 35 nouveaux domaines par mois en moyenne, conçus pour imiter les interfaces bancaires ou des services connus.

Ces sites web servent de pièges pour inciter les utilisateurs à installer des applications malveillantes au format APK. Les arnaques reposent souvent sur de fausses notifications bancaires, des alertes de problèmes de compte, des notifications de livraison et des demandes de vérification urgentes.

Lorsque les utilisateurs cliquent sur le lien, ils sont redirigés vers de fausses pages de téléchargement d'applications, installant ainsi par inadvertance un logiciel malveillant sur leurs appareils Android.

Un logiciel malveillant prend le contrôle des appareils et vole de l'argent en temps réel.

Après infiltration, ce logiciel malveillant bancaire prend rapidement le contrôle total de l'appareil. Selon Infoblox, il est capable d'intercepter et de lire les SMS, de contourner l'authentification biométrique et de suivre et manipuler les transactions bancaires.

Ce logiciel malveillant peut notamment interférer directement avec les transactions en temps réel. Cela permet aux attaquants de transférer de l'argent pendant que les utilisateurs utilisent l'application, à l'insu de la victime.

De plus, elle utilise des techniques de superposition pour afficher de faux écrans de connexion par-dessus l'application bancaire officielle, permettant ainsi de voler les identifiants. Dans certains cas, les pirates peuvent même prendre le contrôle de l'appareil à distance et effectuer des actions comme s'ils étaient l'utilisateur.

Le modèle du « logiciel malveillant en tant que service » est dangereux.

Les chercheurs décrivent cette campagne comme fonctionnant selon un modèle de « logiciel malveillant en tant que service ». Ainsi, l'infrastructure technique et les outils d'attaque sont conçus de manière centralisée, tandis que des « antennes » sont chargées de la distribution et de l'interaction avec les victimes.

Cette structure organisationnelle abaisse les barrières à l'entrée, permettant à de multiples groupes criminels d'exploiter le système sans développer leurs propres logiciels malveillants. C'est également la raison pour laquelle la campagne a pu s'étendre rapidement à de nombreux pays.

En effet, des victimes ont été signalées dans de nombreuses régions, de l'Asie du Sud-Est (Indonésie, Thaïlande) à l'Europe (Espagne, Turquie) et même en Amérique latine. Le logiciel malveillant est capable de s'adapter aux langues locales et aux systèmes bancaires, ce qui accroît le taux de réussite des attaques.

Liens avec des centres d'escroquerie au Cambodge

L’un des aspects les plus frappants du rapport est son lien direct avec les opérations de fraude au Cambodge, et notamment avec le prétendu centre de cybercriminalité de Sihanoukville.

Les chercheurs ont déterminé qu'une partie de l'infrastructure de la campagne était gérée depuis des lieux tels que K99 Triumph City – décrit comme un complexe lourdement gardé lié à des activités de cybercriminalité.

Plus grave encore, les personnes piégées et contraintes d'y travailler sont souvent forcées de participer à des activités de distribution de logiciels malveillants, allant de l'envoi de messages d'hameçonnage à l'incitation des victimes à installer des applications. Cette campagne constitue ainsi non seulement un crime de haute technologie, mais est également liée à la traite des êtres humains et au travail forcé.

Auparavant, de nombreux rapports internationaux avaient également documenté des cas de citoyens attirés au Cambodge par la promesse d'emplois attrayants, pour ensuite être contraints de participer à des escroqueries en ligne.

Avertissements et recommandations pour les utilisateurs Android.

Les experts avertissent que la combinaison de technologies sophistiquées et de crime organisé représente une grave menace pour les utilisateurs du monde entier, notamment dans le secteur de la finance numérique.

Pour minimiser les risques, les utilisateurs d'Android doivent :

- Installez uniquement des applications provenant du Google Play Store ou de sources officielles.

- Ne cliquez pas sur les liens contenus dans les messages ou courriels suspects.

Évitez de télécharger des fichiers APK depuis des sites web d'origine inconnue.

- Vérifiez attentivement les autorisations d'accès de l'application, notamment les autorisations SMS et d'accessibilité.

De plus, les utilisateurs doivent se méfier des offres d'emploi à l'étranger, en particulier celles qui manquent de transparence.

Dans un contexte de campagnes d'attaques de plus en plus sophistiquées et mondiales, la sensibilisation et le respect des principes de sécurité de base restent essentiels à la protection des biens et des données personnelles.