349 applications ciblées. 167 commandes à distance. Plus de 140 applications bancaires et crypto surveillées spécifiquement pour récupérer des codes PIN.
ToxicPanda vient de changer de dimension sur Android.
La nouvelle version du cheval de Troie bancaire ne se contente plus d’afficher de fausses pages de connexion. Elle demande désormais une autorisation VPN afin de contrôler une partie du trafic réseau du téléphone et de couper les communications avec Google Play et Google Play Services.
Ensuite seulement, l’attaque commence vraiment.
ToxicPanda neutralise une partie des défenses Android
ToxicPanda 2.0 arrive alors que les banques centrales africaines reconnaissent déjà leur retard face aux cyberattaques de plus en plus sophistiquées.
Son fonctionnement commence par une demande qui peut paraître relativement normale sur Android : autoriser une connexion VPN.
Les chercheurs de Zimperium qui ont analysé ToxicPanda 2.0 expliquent précisément comment cette permission est détournée.
Un VPN légitime crée une interface par laquelle transite une partie du trafic réseau du téléphone.
ToxicPanda utilise la même possibilité autrement.
Le malware crée une interface VPN locale puis bloque les communications de Google Play et Google Play Services.
L’objectif n’est pas de « supprimer » Play Protect.
Il cherche plutôt à empêcher certaines communications utilisées pour la vérification des applications, les mises à jour ou différents mécanismes de sécurité.
Une fois cet environnement préparé, le dropper extrait sa véritable charge malveillante et l’installe.
Puis arrive la permission la plus dangereuse : Android Accessibility Service.
Cette fonction existe pour une bonne raison.
Elle permet notamment à des applications conçues pour les personnes en situation de handicap de lire ce qui se trouve à l’écran et d’interagir avec certains éléments de l’interface.
Pour un malware, c’est presque une télécommande.
Il peut identifier les boutons.
Lire des informations.
Simuler des clics.
Observer quelle application est ouverte.
ToxicPanda combine donc plusieurs fonctions Android parfaitement légitimes pour construire une attaque qui ne l’est pas du tout.
VPN.
Accessibilité.
Débogage sans fil.
Pris séparément, ces outils sont utiles.
Entre les mains du malware, ils deviennent une chaîne de compromission.
349 applications et 167 ordres différents
La différence avec l’ancienne version est énorme.
ToxicPanda ciblait auparavant environ 16 applications bancaires.
La nouvelle variante prend en charge des overlays de phishing pour 349 applications bancaires, financières, wallets et services crypto répartis dans 16 pays.
L’overlay est l’une des attaques les plus simples à comprendre.
Vous ouvrez votre véritable application bancaire.
ToxicPanda détecte son lancement.
Le malware affiche immédiatement une copie presque identique de l’écran de connexion par-dessus l’application réelle.
Vous saisissez vous-même votre identifiant et votre PIN.
Personne ne vous demande votre code au téléphone.
Personne ne vous oblige à cliquer sur un faux site.
Vous pensez être dans votre banque.
C’est précisément ce qui rend l’attaque efficace.
Un module distinct surveille également plus de 140 applications bancaires et crypto afin de récupérer les codes PIN.
La liste peut être modifiée à distance.
Les chercheurs ont en parallèle recensé 167 commandes différentes disponibles depuis le serveur de contrôle du malware.
Ce chiffre montre la profondeur de l’outil.
ToxicPanda peut recevoir des instructions en temps réel, modifier son comportement, manipuler l’interface ou lancer différentes fonctions de vol et de persistance.
Il peut même afficher une imitation de l’écran de verrouillage Android afin de récupérer le code PIN, le mot de passe ou le schéma utilisé pour déverrouiller le smartphone.
Et pourtant, ce n’est toujours pas la fonction la plus surprenante.
ToxicPanda abuse aussi du Wireless Debugging, le débogage sans fil normalement utilisé par les développeurs Android.
Le malware peut ouvrir les options développeur, activer le débogage, récupérer le code de jumelage et établir une connexion locale avec Android Debug Bridge.
À partir de là, il peut atteindre un accès de niveau shell.
Dit autrement : il essaie de passer d’une application malveillante à un outil capable de donner des ordres beaucoup plus profonds au téléphone.
Cette escalade arrive alors que les cybercriminels africains adoptent déjà l’intelligence artificielle plus rapidement que de nombreux services de police.
Smartphones, banques, wallets et mobile money se retrouvent au centre de la même bataille.
Trois permissions doivent immédiatement alerter
ToxicPanda 2.0 est notamment distribué depuis des fichiers hébergés sur des infrastructures AWS.
Cela ne veut évidemment pas dire qu’Amazon distribue le malware.
Les criminels utilisent fréquemment de grands services cloud légitimes pour héberger leurs fichiers, précisément parce que leurs domaines paraissent moins suspects qu’un serveur obscur.
La défense commence donc avant l’installation.
Installer un fichier APK reçu sur WhatsApp, Telegram, SMS ou depuis une publicité douteuse augmente considérablement le risque.
Il faut ensuite regarder les permissions demandées.
Une application qui n’est pas un VPN ou un outil réseau n’a généralement aucune raison évidente de vouloir créer une interface VPN.
Si elle demande ensuite les services d’accessibilité, le niveau d’alerte doit monter.
Et lorsqu’une application grand public vous pousse soudain à activer les options développeur ou le débogage sans fil, il faut vraiment arrêter.
Ce n’est pas la permission elle-même qui est malveillante.
C’est son incohérence avec la fonction de l’application.
ToxicPanda exploite également de faux écrans « System Update » afin de cacher certaines opérations effectuées en arrière-plan.
Là encore, la psychologie compte.
Les utilisateurs ont appris qu’une mise à jour est normalement une bonne chose.
Le malware retourne ce réflexe contre eux.
Cette évolution rejoint un problème réglementaire plus large : le Nigeria veut déjà renforcer sa législation sur les données face à l’IA et aux nouveaux risques numériques.
Car le smartphone contient désormais bien plus qu’un numéro de téléphone.
Mobile money.
Application bancaire.
E-mail.
SMS d’authentification.
Wallet crypto.
Photos de pièces d’identité.
Conversations privées.
Accès professionnel.
La compromission d’un seul appareil peut ouvrir plusieurs portes à la fois.
Et voilà peut-être l’enseignement le plus utile de ToxicPanda.
Le vieux conseil « ne donnez jamais votre mot de passe à quelqu’un » reste valable.
Il ne suffit plus.
Dans cette attaque, vous pouvez donner votre code au pirate sans jamais lui parler.
En bref
- ToxicPanda 2.0 cible 349 applications financières, bancaires, wallets et crypto dans 16 pays.
- Le malware dispose de 167 commandes à distance.
- Plus de 140 applications sont surveillées par son mécanisme de récupération de PIN.
- ToxicPanda utilise une permission VPN pour bloquer les communications de Google Play et Google Play Services.
- Il peut détourner l’accessibilité Android et le Wireless Debugging pour obtenir davantage de contrôle sur le smartphone.
