Une campagne à motivation financière qui cible les appareils Android et diffuse des logiciels malveillants mobiles via des techniques de phishing par SMS depuis au moins 2018 a déployé ses tentacules pour frapper les victimes situées en France et Allemagne pour la première fois.
Doublé Mante errantela dernière vague d’activités observée en 2021 implique l’envoi de faux textes liés à l’expédition contenant une URL vers une page de destination à partir de laquelle les utilisateurs d’Android sont infectés par un cheval de Troie bancaire connu sous le nom de Wroba, tandis que les utilisateurs d’iPhone sont redirigés vers une page de phishing qui se fait passer pour l’officiel Site Web d’Apple.
Les principaux pays touchés, sur la base des données télémétriques recueillies par Kaspersky entre juillet 2021 et janvier 2022, sont la France, le Japon, l’Inde, la Chine, l’Allemagne et la Corée.
Également suivi sous les noms MoqHao et XLoader (à ne pas confondre avec le malware voleur d’informations du même nom ciblant Windows et macOS), l’activité du groupe a continué de s’étendre géographiquement alors même que les opérateurs ont élargi leurs méthodes d’attaque pour extraire la crypto-monnaie des appareils Apple et échapper à la détection.
L’objectif principal de la campagne est de déployer Wroba, qui fonctionne à la fois comme un logiciel espion et un logiciel malveillant bancaire, avec des capacités pour remplacer les applications légitimes par des versions malveillantes et voler les informations d’identification associées aux comptes bancaires en ligne des victimes.
Une analyse plus approfondie des artefacts de logiciels malveillants a révélé le passage du langage de programmation de Java à Kotlin et l’ajout de deux nouvelles commandes de porte dérobée qui permettent à Wroba d’exfiltrer des galeries et des photos à partir d’appareils infectés.
« Un scénario possible est que les criminels volent des détails tels que des permis de conduire, des cartes d’assurance maladie ou des cartes bancaires, pour signer des contrats avec des services de paiement par code QR ou des services de paiement mobile », ont déclaré les chercheurs. « Les criminels peuvent également utiliser des photos volées pour obtenir de l’argent par d’autres moyens, comme le chantage ou la sextorsion. »
