Hirudo remplace des applis bancaires Android pour voler des identifiants

Lire en : English · Français · Deutsch · Español

Des chercheurs en sécurité ont identifié un nouveau cheval de Troie bancaire Android qui adopte une méthode audacieuse : il remplace les applis bancaires légitimes par des copies spécialement patchées directement sur l’appareil cible, retournant ainsi les contrôles de sécurité de l’appli contre elle-même. Baptisé Hirudo, le malware utilise un moteur de hooking pour contourner les protections intégrées de l’appli bancaire, y compris les vérifications du certificat de signature, les permissions d’Accessibilité et les réponses de Play Integrity.

Hirudo a été observé ciblant au moins huit applis bancaires indonésiennes, mais les chercheurs indiquent que la campagne montre aussi des activités à l’encontre d’institutions financières en Chine, Inde, Mexico, Maroc et Thaïlande. Les attaquants diffusent Hirudo en l’insérant dans des dropper apps qui paraissent légitimes, liées au shopping, aux contenus pour adultes ou à de courtes dramatiques. Ces types d’apps attirent les utilisateurs avec du contenu réel, puis déclenchent un faux prompt de « mise à jour » qui mène à des demandes de permissions et à l’installation de la copie patchée de l’appli bancaire.

Une fois installée, Hirudo désinstalle l’appli bancaire originale du dispositif et télécharge une version patchée. Le malware utilise ensuite le processus de l’appli pour exécuter un moteur de hooking capable de cloner et modifier le comportement de l’application. Concrètement, le code de l’attaquant substitue le certificat de signature authentique lorsqu’il est interrogé, masque les services d’accessibilité activés et désactive les protections anti-capture d’écran afin que l’attaquant puisse visualiser ou capturer l’écran en temps réel. Il peut aussi modifier des certificats d’attestation clés et relayer les vérifications Play Integrity vers un serveur contrôlé par l’opérateur, trompant ainsi les défenses de la banque.

Au-delà des contournements, Hirudo est conçu pour le vol d’identifiants et la prise complète du dispositif. Il peut dérober mots de passe bancaires, PIN de paiement, secrets de déverrouillage et messages SMS. Il prend aussi en charge le contrôle à distance du téléphone, la capture d’écran et de caméra, et l’affichage de pages de paiement factices qui collectent des PIN avant d’afficher une page de succès contrefaite.

ThreatFabric, qui a décrit Hirudo en détail, signale une contrainte sérieuse pour les défenseurs : la keybox d’attestation de l’appli patchée est publiquement divulguée, et Google répertorie certains certificats comme compromis. Cela signifie que des contrôles de révocation côté serveur peuvent détecter des forgeries, mais cela montre aussi que les attaquants peuvent agir vite en réutilisant des matériaux divulgués. Les chercheurs précisent que les dégâts sont amplifiés par un backend centralisé qui relie les campagnes aux données volées comme l’état de l’appareil, l’historique d’écran de verrouillage et les données de risque financier.

Pour l’utilisateur lambda, la conclusion est simple : les protections standard peuvent ne pas suffire si votre appareil se retrouve avec une appli bancaire patchée. Pour réduire les risques, évitez de télécharger des applis depuis des boutiques non officielles, maintenez vos appareils à jour et lancez régulièrement des analyses Play Protect. Si vous observez un comportement inhabituel autour des applis bancaires, des invites inattendues, des demandes de permissions supplémentaires ou des dialogues de mise à jour inconnus, considérez-les comme suspects et réinstallez l’appli légitime depuis la boutique officielle.

Les banques sont invitées à renforcer leurs contrôles d’intégrité et d’attestation côté serveur, à lier les vérifications aux sessions actives et à maintenir des contrôles rigoureux de risque de transaction. La menace évolutive montre que les attaquants passent des astuces au niveau de l’appareil à des manipulations à l’intérieur des applis bancaires de confiance, faisant de la défense un défi partagé entre utilisateurs, éditeurs d’applis et institutions financières.