Un logiciel malveillant particulièrement dangereux pour Android a fait son apparition et peut voler des informations de cartes bancaires.

Imaginez recevoir un SMS qui semble provenir de votre banque, vous informant d'une « transaction suspecte » et vous suggérant d'appeler immédiatement le service client. Par prudence, vous vous exécutez. Une voix calme et rassurante répond : « Ne vous inquiétez pas, nous vous guiderons pas à pas. »

Quelques minutes plus tard, vous êtes tombé sans le savoir dans le piège de cybercriminels : un logiciel malveillant s’est installé sur votre compte, vous avez fourni votre code PIN, vos limites de transaction ont été supprimées et vous avez autorisé l’effacement de toutes les données de votre compte. Tout cela se produit dans un climat de confiance qui semblait justifiée.

Il s'agit de SuperCard X, une variante de logiciel malveillant de nouvelle génération, que les experts de la société de sécurité italienne Cleafy qualifient de « presque invisible, extrêmement sophistiquée et efficace ».

Ce type de logiciel malveillant fait partie du modèle « logiciel malveillant en tant que service » (MaaS), développé par des groupes de pirates informatiques sinophones.

SuperCard X exploite les appareils Android et utilise des techniques de transfert NFC pour commettre des vols, voler des informations de carte et même retirer de l'argent avant même que vous ne vous rendiez compte de ce qui se passe.

Comment fonctionne le logiciel malveillant SuperCard X ?

Ce qui rend SuperCard X particulièrement dangereux, c'est son système d'attaque multicouche extrêmement sophistiqué. Tout commence par un faux message, probablement un SMS, vous informant que votre compte bancaire a été compromis.

Ensuite, les escrocs appellent directement la victime, utilisant une voix polie et rassurante pour la guider. Une fois sa confiance établie, ils commencent à la manipuler : ils lui demandent son code PIN, suppriment les limites de dépenses de sa carte et installent une application malveillante présentée comme un système de « sécurité avancée ».

La dernière tactique est une ruse en apparence inoffensive mais en réalité mortelle : on vous demande d’approcher votre carte bancaire de votre téléphone « à des fins de vérification ». En fait, l’application malveillante lit discrètement les données via NFC et les transmet à un dispositif de copie de carte contrôlé par le pirate. Grâce à cette copie, il peut facilement retirer de l’argent sans contact aux distributeurs automatiques, sans laisser de traces.

Cette campagne d'escroquerie a été documentée, avec des victimes dans plusieurs pays comme l'Italie et les États-Unis, impliquant des réseaux de cybercriminalité liés à la Chine.

Auparavant, des experts de la société de cybersécurité slovaque ESET avaient également découvert un logiciel malveillant Android qui exploitait la technologie NFC pour attaquer les utilisateurs de trois grandes banques en République tchèque.

L'élément humain est essentiel dans la lutte contre les logiciels malveillants.

Ce qui rend SuperCard X dangereux, ce n'est pas seulement son logiciel malveillant sophistiqué, mais aussi le facteur humain.

Selon Randolph Barr, directeur de la sécurité de l'information chez Cequence, une société de sécurité américaine, la majorité des attaques actuelles conservent une orientation géographique claire, tout indiquant qu'elles ciblent une zone spécifique.

Il a souligné : « Si cette menace se propage, ce sera en grande partie parce que les utilisateurs sont manipulés par des attaques non techniques, persuadés de désactiver les mécanismes de protection intégrés, ce qui est un signe avant-coureur inquiétant. »

Un autre risque potentiel découle de la plateforme elle-même. Barr a souligné que le pourcentage élevé d'utilisateurs Android en Asie pourrait rendre la région plus vulnérable. En effet, là où le téléchargement d'applications depuis des sources externes est courant, les barrières de sécurité sont intrinsèquement plus faibles.

Android séduit par sa flexibilité, mais celle-ci ouvre aussi la porte à des arnaques sophistiquées comme SuperCard X. En revanche, l'écosystème iOS, avec ses restrictions strictes, notamment concernant l'accès NFC, protège mieux les utilisateurs.

« Bien que parfois critiquées pour leur caractère trop restrictif, ces limitations constituent en réalité, du point de vue de la sécurité, une précieuse couche de protection », a déclaré l'expert en sécurité Barr.

Bien que les logiciels malveillants deviennent de plus en plus sophistiqués, les attaques non techniques restent des « vieilles astuces » bien connues. Barr a averti : « Les utilisateurs d’Android doivent être plus attentifs aux signes d’hameçonnage ; parfois, le simple fait de vérifier la légitimité d’une requête suffit à éviter tout risque. »