Les chercheurs en sécurité ont découvert un nouveau cheval de Troie bancaire Android capable d’espionner et de voler des données à partir de 153 applications Android.
Nommé Ghimob, le cheval de Troie aurait été développé par le même groupe derrière le malware Astaroth (Guildma) Windows, selon un rapport publié lundi par la société de sécurité Kaspersky.
Kaspersky indique que le nouveau cheval de Troie Android a été proposé au téléchargement dans des applications Android malveillantes sur des sites et des serveurs précédemment utilisés par l’opération Astaroth (Guildama).
La distribution n’a jamais été effectuée via le Play Store officiel.
Au lieu de cela, le groupe Ghimob a utilisé des e-mails ou des sites malveillants pour rediriger les utilisateurs vers des sites Web faisant la promotion d’applications Android.
Ces applications imitaient les applications et les marques officielles, avec des noms tels que Google Defender, Google Docs, WhatsApp Updater ou Flash Update. Si les utilisateurs étaient suffisamment imprudents pour installer les applications malgré tous les avertissements affichés sur leurs appareils, les applications malveillantes demanderaient l’accès au service d’accessibilité comme étape finale du processus d’infection.
Si cela était accordé, les applications rechercheraient sur le téléphone infecté une liste de 153 applications pour lesquelles elles afficheraient de fausses pages de connexion dans le but de voler les informations d’identification de l’utilisateur.
La plupart des applications ciblées étaient destinées aux banques brésiliennes, mais dans des versions récemment mises à jour, Kaspersky a déclaré que Ghimob avait également étendu ses capacités pour commencer à cibler les banques en Allemagne (cinq applications), au Portugal (trois applications), au Pérou (deux applications) et au Paraguay (deux applications). ), L’Angola et le Mozambique (une application par pays).
En outre, Ghimob a également ajouté une mise à jour pour cibler les applications d’échange de crypto-monnaie dans le but d’accéder aux comptes de crypto-monnaie, Ghimob suivant une tendance générale de la scène des logiciels malveillants Android qui s’est lentement déplacée pour cibler les propriétaires de crypto-monnaie.
Une fois que toute tentative de phishing a réussi, toutes les informations d’identification collectées ont été renvoyées au gang Ghimob, qui accédait alors au compte d’une victime et initierait des transactions illégales.
Si les comptes étaient protégés par des mesures de sécurité renforcées, le gang Ghimob utilisait son contrôle total sur l’appareil (via le service d’accessibilité) pour répondre à toutes les sondes de sécurité et aux invites affichées sur le smartphone attaqué.
Les fonctionnalités de Ghimob ne sont pas uniques, mais copient en fait la composition d’autres chevaux de Troie bancaires Android, tels que Roche noire ou Extraterrestre.
Kaspersky a noté que le développement de Ghimob fait écho à une tendance mondiale sur le marché brésilien des malwares, avec les gangs de malwares locaux très actifs qui se développent lentement pour cibler les victimes dans les pays étrangers.
