Les logiciels malveillants compte-gouttes bancaires ont fait surface sur le Google Play Store cette année, montrant comment ce cheval de Troie financier émergent peut apparaître dans de nombreux endroits, selon Trend Micro.

Le soi-disant « DawDropper« qui s’est concentré sur les institutions financières ces derniers temps utilise des « compte-gouttes » malveillants afin de partager et de propager sa charge utile de logiciels malveillants, selon une étude de l’équipe mobile de Trend Micro.

« Des acteurs malveillants ont subrepticement ajouté un nombre croissant de chevaux de Troie bancaires à Google Play Store via compte-gouttes malveillants cette année, prouvant qu’une telle technique est efficace pour échapper à la détection », selon Trend Micro.

« De plus, parce qu’il existe une forte demande pour de nouvelles façons de distribuer des logiciels malveillants mobiles, plusieurs acteurs malveillants affirment que leurs compte-gouttes pourraient aider d’autres cybercriminels à diffuser leurs logiciels malveillants sur Google Play Store », poursuit le message, « entraînant une compte-gouttes en tant que service (DaaS) modèle. »

À partir de la fin de l’année dernière, cette nouvelle variante de logiciels malveillants compte-gouttes a été découverte infiltrant divers bastions d’applications mobiles Android.

Bien que ces attaques croissantes de « compte-gouttes » puissent sembler nouvelles, il y a des aspects de ces incursions qui sont assez conventionnels.

« Ce qui n’est pas nouveau, c’est le masquage des logiciels malveillants dans les applications de productivité courantes fournies par le Google Store », a déclaré James McQuiggan, défenseur de la sensibilisation à la sécurité chez KnowBe4.

« Ce qui est nouveau, c’est un système tiers qui fournit des logiciels malveillants dans les applications après leur téléchargement », a déclaré McQuiggan. « Les cybercriminels évoluent constamment pour répondre aux améliorations technologiques et humaines afin d’échapper à l’anti-malware et au pare-feu humain. »

En examinant l’historique global de DawDropper, Trend Micro a découvert quatre types de chevaux de Troie bancaires, y compris Octo, Hydra, Ermac et TeaBot.

« Toutes les variantes de DawDropper utilisent une base de données Firebase Realtime Database, une base de données NoSQL légitime hébergée dans le cloud pour stocker des données, comme serveur de commande et de contrôle (C&C) et héberger des charges utiles malveillantes sur GitHub », selon Trend Micro.

Bien que ces compte-gouttes bancaires aient le même objectif principal – distribuer et installer des logiciels malveillants sur les appareils des victimes – « nous avons observé qu’il existe des différences marquées dans la façon dont ces compte-gouttes bancaires mettent en œuvre leurs routines malveillantes », selon l’analyse de Trend Micro. Par exemple, les compte-gouttes bancaires qui ont été lancés plus tôt cette année « ont des adresses de téléchargement de charge utile codées en dur ».

Pendant ce temps, les compte-gouttes bancaires qui ont été récemment lancés « ont tendance à cacher l’adresse de téléchargement de la charge utile réelle, utilisent parfois des services tiers comme serveurs C & C et utilisent des services tiers tels que GitHub pour héberger des charges utiles malveillantes », a révélé l’étude de Trend Micro.

« Les industries financières sont continuellement ciblées alors qu’elles gardent l’argent », a souligné McQuiggan. « Les cybercriminels trouvent plus facile de cibler les utilisateurs et de voler leurs informations d’identification et de travailler pour les vendre ou les exploiter pour concevoir la victime pour de l’argent socialement. »

Les cybercriminels trouvent constamment des moyens « d’échapper à la détection et d’infecter autant d’appareils que possible », selon Trend Micro. « En six mois, nous avons vu comment les chevaux de Troie bancaires ont fait évoluer leurs routines techniques pour éviter d’être détectés, comme cacher des charges utiles malveillantes dans des compte-gouttes. À mesure que de plus en plus de chevaux de Troie bancaires seront mis à disposition via DaaS, les acteurs malveillants disposeront d’un moyen plus simple et plus rentable de distribuer des logiciels malveillants déguisés en applications légitimes.

Trend Micro a prévu que la tendance se poursuivrait, avec plus de chevaux de Troie bancaires distribués sur des sites d’applications générales comme Google Play Store, ainsi que d’autres.

« Comme BankDropper cible les utilisateurs, l’éducation est toujours bénéfique pour sensibiliser davantage les clients de la banque à être sceptiques quant au chargement de logiciels pour les applications qui n’ont pas d’avis », a déclaré McQuiggan. « Les banques doivent toujours s’assurer que l’authentification multifacteur est activée et utiliser des applications d’authentification plutôt que d’envoyer un code par SMS. »