« Au départ, nous avons constaté que BeatBanker était distribué sous l’apparence d’une application de services publics : il installait un cheval de Troie bancaire en plus d’un mineur de cryptomonnaie. Cependant, nos récents efforts de détection ont mis au jour une nouvelle campagne impliquant une autre variante de BeatBanker qui déploie le RAT BTMOB au lieu du module bancaire. Les attaquants semblent utiliser un nouvel appât avec l’application Starlink pour atteindre davantage de victimes dans différents pays. Par conséquent, il est important que les utilisateurs restent vigilants et utilisent des solutions avancées pour protéger leurs smartphones », commente Fabio Assolini, Head of the Americas & Europe units chez Kaspersky GReAT.
Vecteur d’infection initial
Les experts Kaspersky estiment que les cybercriminels distribuent une fausse application Starlink contenant le cheval de Troie BeatBanker via des pages de phishing qui imitent le Google Play Store. Après son installation sur un appareil compromis, le Trojan affiche une interface utilisateur qui simule également celle de Google Play. Les cybercriminels incitent ainsi les victimes à accorder des autorisations d’installation, permettant ainsi le téléchargement d’autres charges malveillantes cachées.
Minage de cryptomonnaie et le module RAT BTMOB
Lorsqu’un utilisateur clique sur « mettre à jour » sur la fausse page Google Play, un mineur de cryptomonnaie Monero se déploie. BeatBanker surveille le pourcentage de la batterie et la température du smartphone infecté, ainsi que l’activité de l’utilisateur, après quoi le mineur caché est lancé ou arrêté.
Le cheval de Troie Android installe également sur l’appareil compromis le RAT BTMOB, qui permet un contrôle à distance complet et est commercialisé sous forme de Malware-as-a-Service (logiciel malveillant en tant que service). Il est capable d’octroyer automatiquement des autorisations, de masquer les notifications système et dispose de mécanismes conçus pour capturer les identifiants de verrouillage d’écran, notamment les codes
PIN, les schémas et les mots de passe. Le logiciel malveillant donne également aux cybercriminels l’accès aux caméras avant et arrière, à la surveillance de la localisation GPS et permet la collecte constante de données sensibles.
Pour assurer sa persistance et empêcher toute tentative de désinstallation, BeatBanker maintient une notification fixe au premier plan et active un service de premier plan avec une lecture multimédia silencieuse. Cette tactique est conçue pour empêcher le système d’exploitation de supprimer le processus malveillant.
Les produits de Kaspersky détectent cette menace sous les appellations HEUR:Trojan-Dropper.AndroidOS.BeatBanker et HEUR:Trojan-Dropper.AndroidOS.Banker.
Afin de rester protégé face à ces menaces, Kaspersky recommande de :
Télécharger des applications seulement depuis les boutiques officielles pour smartphones, telles que l’App Store d’Apple et le Google Play Store, tout en gardant à l’esprit que même le téléchargement depuis des boutiques officielles n’est pas toujours sans risque.
Vérifier les avis sur les applications, utilisez uniquement des liens provenant de sites officiels et installez un logiciel de sécurité fiable, capable de détecter et de bloquer toute activité malveillante si une application s’avère frauduleuse.
Vérifiez les autorisations des applications utilisées et réfléchissez bien avant de les accorder, en particulier lorsqu’il s’agit d’autorisations à haut risque telles que les services d’accessibilité.
Mettre à jour votre système d’exploitation et les applications importantes dès que des mises à jour sont disponibles. De nombreux problèmes de sécurité peuvent être résolus en installant les versions mises à jour des logiciels.
