Le 26 mai 2016

Les analystes de Doctor Web détectent constamment des cas de propagation de Trojans bancaires ciblant les appareils mobiles sous Android. Ce n’est pas un secret que les cybercriminels tentent souvent de dissimuler leurs applications malveillantes derrière des programmes inoffensifs et utiles. Le Trojan Android.BankBot.104.origin ne fait pas exception, ses auteurs le proposent sous couvert d’un logiciel permettant de pirater des jeux mobiles ou sous couvert de programmes pour les cheaters (tricheurs).

Les cybercriminels diffusant des Trojans bancaires ont ciblé les amateurs de jeux mobiles qui utilisent des versions piratées. Lorsque les utilisateurs essaient de trouver dans les moteurs de recherche des informations sur les cheats pour les jeux, par exemple, des moyens d’obtenir plus d'or, de cristaux ou d'autres devises de jeu, ou lorsqu'ils veulent télécharger une version piratée de leur application de jeu préférée, les criminels affichent dans les résultats de recherches des liens vers des sites Web de pirates conçus spécialement pour cela.

Les portails Web des pirates contiennent des informations sur plus de 1000 jeux populaires, c'est pourquoi ils s’affichent en priorité lors des recherches. Il est à noter que ces sites ont une signature numérique valide, laissant de nombreuses victimes potentielles les considérer comme sécurisés.

Lorsque l'utilisateur d'un appareil mobile tente de télécharger une application depuis un de ces sites, il est redirigé vers un autre site depuis lequel, sous couvert d'une version piratée de logiciel, il télécharge le Trojan bancaire Android.BankBot.104.origin. D'autres Trojans et notamment les représentants de la famille des Trojans bancaires Android.ZBot peuvent également être téléchargés sur des Smartphones et tablettes.

Le Trojan Android.BankBot.104.origin est protégé par un packer spécialisé qui diminue la probabilité de détection par les antivirus et empêche l'analyse. L'une de ces modifications plus récentes est détectée par les produits antivirus Dr.Web pour Android comme Android.BankBot.72, mais les auteurs de virus créent constamment de nouvelles versions compressées du Trojan donc cette application malveillante peut être détectée sous d'autres noms. Android.BankBot.104.origin est une version obfusquée du Trojan bancaire Android.BankBot.80.origin - son code est chiffré sérieusement afin d'empêcher l'analyse et la détection par les antivirus.

Android.BankBot.104.origin s'installe comme une application nommée « HACK » et après son démarrage, il tente d'obtenir l’accès aux fonctions d'administrateur de l'appareil. Puis le Trojan supprime son icône de la liste des applications sur l'écran d'accueil pour se cacher de l'utilisateur.

Il procède ensuite à la mise en œuvre d’activités malveillantes. Il essaie notamment de déterminer si la victime a activé un service de banque en ligne et si elle a des comptes bancaires accessibles. Pour cela, l'application malveillante envoie des SMS avec des commandes spécifiques aux numéros des systèmes bancaires correspondants. Si Android.BankBot.104.origin origine trouve de l’argent, il essaie de le transférer vers les comptes des pirates.

De plus, les cybercriminels peuvent gérer le Trojan bancaire à distance. Ainsi, sur commande depuis le serveur de contrôle, le Trojan peut activer la redirection des appels vers un numéro spécifié, cacher à l'utilisateur des SMS entrants ou intercepter leur contenu, envoyer des SMS, exécuter des requêtes USSD et d'autres actions encore.

Doctor Web recommande aux joueurs de ne pas chercher des versions piratées des jeux et des applications Android et de ne pas installer des applications douteuses sur leurs appareils mobiles, puisque la tentative d'économiser une petite somme d'argent peut entraîner la perte de beaucoup plus. Les produits antivirus Dr.Web pour Android détectent et éradiquent toutes les modifications connues des Trojans décrits ci-dessus.

Plus d'infos sur ce Trojan

Protégez votre appareil Android avec Dr.Web !