Les chercheurs en sécurité ont découvert une souche de malware Android qui combine fraude bancaire, surveillance et contrôle à distance avec une méthode inhabituelle pour transférer des informations volées entre smartphones infectés.
Nommé Manic par les chercheurs de ThreatFabric , ce malware vise 169 applications couvrant la banque, les services de paiement, les plateformes et portefeuilles de cryptomonnaies, les services de messagerie, les applications gouvernementales, les authentificateurs, les navigateurs et les clients de messagerie. Son principal objectif est l’Ukraine, bien que sa liste cible couvre également les institutions financières russes et européennes, les services internationaux fintech et cryptomonnaies, ainsi que les communications orientées vers le secteur militaire.
Une fois que Manic obtient les permissions de service d’accessibilité et de notification, ses opérateurs peuvent accéder largement à l’appareil Android compromis. Le malware peut collecter des mots de passe, des codes d’authentification à usage unique et des phrases de récupération de cryptomonnaies tout en surveillant les messages texte.
Manic peut abuser des superpositions et des écrans trompeurs lorsque les victimes utilisent des applications bancaires ciblées ou des cryptomonnaies. Ces techniques lui permettent de dissimuler des activités malveillantes et de capturer des informations saisies via des claviers à l’écran. L’abus des services d’accessibilité Android permet également aux attaquants d’observer ce qui est affiché à l’écran et d’interagir à distance avec l’appareil.
ThreatFabric a découvert que Manic peut capturer des informations associées aux méthodes utilisées pour déverrouiller un téléphone, notamment les codes PIN, mots de passe, motifs, empreintes digitales et reconnaissance faciale. Les chercheurs qualifient ce malware de combinaison de fonctionnalités associées aux menaces bancaires Android avec des capacités de logiciels espions plus larges.
L’une des capacités les plus distinctives de Manic concerne la manière dont il exfiltre l’information. Les fichiers et données volés sont chiffrés à l’aide d’AES-GCM et stockés dans une file locale pendant que le malware cherche un chemin vers son infrastructure de commandement et de contrôle.
Un téléphone compromis n’a pas nécessairement besoin de sa propre connexion internet pour fournir ces informations. Manic peut transférer des données en file d’attente vers un autre appareil Android infecté situé à proximité via Wi-Fi Direct ou Bluetooth. Ce second appareil peut alors agir comme un relais et transmettre les informations volées vers l’infrastructure contrôlée par les attaquants.
Si aucune connexion directe ni autre dispositif infecté approprié n’est disponible, Manic garde les données chiffrées en file d’attente et tente de la transmission ultérieurement.
Cette capacité signifie que déconnecter un smartphone infecté d’Internet seul peut ne pas suffire à empêcher l’information de quitter l’appareil. Si un autre téléphone infecté par Manic est à portée sans fil, le malware peut encore avoir une voie alternative pour transmettre les informations volées.
Les chercheurs n’ont pas identifié Manic sur le Google Play Store. Le malware renforce donc les risques liés à l’installation de fichiers APK Android obtenus via des sites web non fiables ou d’autres sources de distribution non officielles.