Le cheval de Troie bancaire Android BlankBot peut collecter vos données personnelles

Les chercheurs en cybersécurité ont découvert une nouvelle menace sous la forme d'un cheval de Troie bancaire Android nommé BlankBot. Ce logiciel malveillant cible les utilisateurs turcs et vise à voler des informations financières par diverses méthodes sophistiquées.

Capacités de BlankBot

BlankBot est armé d'une suite de fonctionnalités nuisibles. Selon l'analyse d'Intel 471 publiée la semaine dernière, celles-ci incluent :

• Injections client : superpositions trompeuses qui incitent les utilisateurs à saisir des informations sensibles.
• Keylogging : capture de tout ce qui est tapé sur l'appareil.
• Enregistrement d'écran : surveillance et enregistrement des activités des utilisateurs.
• Communication du serveur de contrôle : utilisation d'une connexion WebSocket pour communiquer avec un serveur de contrôle distant.

Découvert le 24 juillet 2024, BlankBot est toujours en développement actif. Le malware exploite les autorisations des services d'accessibilité d'Android pour obtenir un contrôle total sur les appareils infectés. Certains des fichiers APK identifiés comme contenant BlankBot incluent :

• app-release.apk (com.abcdefg.w568b)
• app-release.apk (com.abcdef.w568b)
• app-release-signed (14).apk (com.whatsapp.chma14)
• app.apk (com.whatsapp.chma14p)
• app.apk (com.whatsapp.w568bp)
• showcuu.apk (com.whatsapp.w568b)

Comment fonctionne BlankBot

Semblable au cheval de Troie Android Mandrake, BlankBot utilise un programme d'installation de packages basé sur une session pour contourner les mesures de sécurité d'Android 13 qui empêchent les applications téléchargées de demander directement des autorisations dangereuses. Le malware invite les victimes à autoriser les installations à partir de sources tierces, récupère le fichier APK stocké dans le répertoire des ressources de l'application et procède à l'installation sans cryptage.

Une fois installé, BlankBot effectue diverses actions malveillantes, notamment :

• Enregistrement d'écran et keylogging : pour capturer des informations sensibles.
• Injection de superpositions : basée sur des commandes spécifiques provenant d'un serveur distant pour voler les informations d'identification bancaires et les données de paiement.
• Intercepter des messages SMS : pour capturer les codes d'authentification et d'autres informations critiques.
• Désinstallation d'applications : suppression des applications de sécurité et d'autres logiciels.
• Collecte de données : récolte de listes de contacts, d'applications installées et d'autres données personnelles.
• Empêcher l'accès : utilisation de l'API des services d'accessibilité pour bloquer l'accès aux paramètres de l'appareil et aux applications antivirus.

Réponse et mesures de protection de Google

Google a déclaré qu'aucune application contenant BlankBot n'a été trouvée sur le Google Play Store. Les utilisateurs d'Android sont automatiquement protégés contre les versions connues de ce malware par Google Play Protect, qui est activé par défaut sur les appareils dotés des services Google Play. Cette protection avertit les utilisateurs et bloque les applications contenant le malware, même provenant de sources extérieures à Play.

En réponse à des menaces plus larges, notamment celles posées par les techniques de fraude SMS Blaster qui contournent les protections du réseau des opérateurs, Google a introduit plusieurs mesures d'atténuation. Celles-ci incluent la possibilité de désactiver la 2G au niveau du modem et de désactiver les chiffrements nuls, qui sont essentiels au fonctionnement des fausses stations de base utilisées dans de telles attaques. De plus, Google a renforcé la sécurité cellulaire en alertant les utilisateurs des connexions réseau non cryptées et de l'utilisation de simulateurs de sites cellulaires à des fins de surveillance ou de fraude par SMS.

La découverte de BlankBot met en évidence l'évolution continue des logiciels malveillants Android et la nécessité de pratiques de sécurité vigilantes. À mesure que ce cheval de Troie continue de se développer, il est essentiel que les utilisateurs restent informés et profitent des fonctionnalités de sécurité intégrées telles que Google Play Protect. En restant prudents et conscients, les utilisateurs peuvent contribuer à protéger leurs appareils et leurs informations personnelles contre les menaces émergentes.