ToxicPanda 2.0 s’attaque actuellement aux utilisateurs de 16 pays et cible pas moins de 349 applications bancaires et liées aux cryptomonnaies. Cette nouvelle version va plus loin que de nombreux chevaux de Troie classiques : elle peut notamment bloquer le Google Play Store, intercepter des codes de double authentification et prendre davantage de contrôle sur l’appareil infecté. L’autorité allemande chargée de la cybersécurité classe la menace à un niveau élevé.
ToxicPanda 2.0 dispose de 167 commandes à distance
Les chercheurs en sécurité de Zimperium ont identifié 167 commandes à distance différentes intégrées à ToxicPanda 2.0.
C’est beaucoup.
Cette palette permet aux attaquants de multiplier les actions sur un smartphone compromis, depuis le vol de données jusqu’à des manipulations beaucoup plus poussées du système.
Le malware exploite également Android Debug Bridge, ou ADB, un outil normalement réservé aux développeurs pour diagnostiquer et contrôler des appareils Android.
Selon l’analyse présentée, ToxicPanda 2.0 peut activer le débogage sans fil et récupérer les informations nécessaires à son utilisation. Cette technique lui permettrait d’exécuter certaines commandes avec des privilèges élevés, sans multiplier les demandes visibles pour l’utilisateur.
ToxicPanda 2.0 peut empêcher Google Play de fonctionner
C’est l’une de ses particularités les plus inquiétantes : le cheval de Troie est capable de bloquer volontairement le Google Play Store sur l’appareil infecté.
Ce comportement ne serait pas accidentel.
Le but est de gêner les mécanismes de sécurité associés à l’écosystème Google, notamment Play Protect, chargé d’analyser les applications et de repérer certains comportements malveillants.
Un Play Store qui refuse soudainement de s’ouvrir, affiche continuellement des erreurs ou cesse de fonctionner normalement peut donc constituer un signal d’alerte.
Il ne faut pas pour autant considérer chaque panne de Google Play comme la preuve d’une infection. Les bugs classiques restent évidemment possibles.
Les codes de double authentification peuvent aussi être interceptés
ToxicPanda 2.0 vise également la double authentification, ou 2FA.
Le malware détourne notamment les services d’accessibilité d’Android, qui peuvent lui donner accès à des informations affichées à l’écran et à certaines interactions de l’utilisateur.
Conséquence : un code de validation reçu ou affiché sur un smartphone déjà compromis peut potentiellement être récupéré par les attaquants.
La 2FA reste une protection très utile, mais elle devient nettement moins efficace lorsque le terminal qui reçoit le second facteur est lui-même infecté.
De fausses pages bancaires récupèrent identifiants et mots de passe
ToxicPanda 2.0 utilise également une méthode bien connue des chevaux de Troie bancaires : les attaques par superposition, ou overlays.
Le principe consiste à afficher une fausse interface par-dessus l’application bancaire légitime.
L’utilisateur pense saisir ses identifiants dans sa banque. En réalité, son code PIN, son mot de passe ou d’autres informations sensibles peuvent être transmis aux attaquants.
Le malware pourrait également afficher de fausses alertes de mise à jour système et manipuler l’écran de verrouillage afin de récupérer davantage d’informations ou de masquer certaines opérations.
Selon l’analyse des chercheurs, il chercherait aussi à contourner les mécanismes d’économie d’énergie utilisés notamment par Samsung et Xiaomi, afin de rester actif en arrière-plan aussi longtemps que possible.
L’infection passe principalement par des applications installées hors du Play Store
ToxicPanda 2.0 ne se propage pas automatiquement d’un smartphone à un autre.
Son principal moyen d’infection repose sur le sideloading, c’est-à-dire l’installation manuelle d’applications provenant de sites tiers ou de boutiques non officielles.
Le malware peut se faire passer pour un navigateur, une application de rencontre ou un outil système apparemment légitime.
Autrement dit, l’utilisateur doit généralement installer lui-même l’application piégée.
Les chercheurs ont également observé l’utilisation d’Amazon AWS dans l’infrastructure permettant aux appareils infectés de communiquer avec les attaquants. L’utilisation de services cloud parfaitement légitimes peut rendre certaines communications malveillantes moins évidentes à distinguer du trafic ordinaire.
Quelques réglages réduisent fortement le risque d’infection
Le moyen le plus efficace de réduire le risque reste d’éviter les fichiers APK provenant de sources inconnues, en particulier lorsqu’un site réclame l’installation urgente d’une prétendue mise à jour ou d’un correctif de sécurité.
Il est également préférable de vérifier régulièrement que Google Play et Play Protect fonctionnent normalement, et de surveiller les autorisations demandées par les applications.
Une application de rencontre ou un navigateur qui réclame soudainement l’accès aux services d’accessibilité, au VPN ou à d’autres fonctions sensibles mérite une attention particulière.
Le débogage sans fil et les options pour développeurs devraient aussi rester désactivés lorsqu’ils ne sont pas nécessaires.
Enfin, les mises à jour d’Android et des applications doivent être installées rapidement afin de corriger les vulnérabilités connues.
Un antivirus peut ne pas suffire après une infection
Lorsqu’un malware obtient un accès profond au système et perturbe certains mécanismes de sécurité, une simple analyse antivirus peut ne pas suffire à garantir sa disparition complète.
En cas de suspicion sérieuse d’infection par ToxicPanda 2.0, une réinitialisation aux paramètres d’usine est présentée comme la méthode la plus sûre pour repartir d’un environnement propre.
Les utilisateurs qui installent leurs applications exclusivement depuis le Google Play Store réduisent fortement leur exposition, puisque le principal vecteur identifié reste l’installation d’APK provenant de sources externes.
Le risque zéro n’existe pas. Mais dans le cas de ToxicPanda 2.0, éviter les applications téléchargées hors des boutiques officielles reste l’une des protections les plus importantes.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
