Comodo détecte une nouvelle famille de logiciels malveillants financiers sophistiqués

Temps de lecture : 3 minutes

Comodo Laboratoires de recherche sur les menaces (CTRL) a annoncé avoir détecté une nouvelle famille de malware financier surnommé « Gugi/Fanta/Lime ». Il s'agit d'un cheval de Troie bancaire sophistiqué capable de contourner les protocoles de sécurité standard d'un système d'exploitation Android (version 6) et de prendre le contrôle du système d'exploitation. Le malware financier recherche les privilèges système et les informations d’identification des utilisateurs, et une fois qu’il les a obtenus, il acquiert le contrôle total de l’appareil Android.

CTRL a détecté que le malware est actif en Russie. Ce cheval de Troie place une couche de programme d'interface contrefaite d'aspect authentique sur une application authentique telle que le Google Play Store ou d'autres applications bancaires mobiles. Il trompe les utilisateurs et leur fait croire que l’interface est authentique et leur fait révéler leurs identifiants de connexion et d’autres informations sensibles telles que les détails de leur carte de crédit et de débit.

Comment se déroule l’infection par un logiciel malveillant

Les cybercriminels recourir à l’ingénierie sociale et au phishing pour lancer l’infection. Ils envoient des messages de spam contenant un lien hypertexte. Si l’utilisateur n’est pas suffisamment prudent et clique sur le lien hypertexte, il est redirigé vers un site Web malveillant et il lui est demandé de cliquer sur un autre lien. Un clic lance le téléchargement de Trojan-Banker.AndroidOS.Gugi.c sur l'appareil de l'utilisateur.

Le cheval de Troie « Gugi/Fanta/Lime » recherche désormais l'autorisation de l'utilisateur. Depuis la version 6 d'Android, l'autorisation explicite de l'utilisateur/propriétaire de l'appareil est requise pour certaines autorisations pour les applications ainsi que pour superposer des écrans/fenêtres sur d'autres applications. Si l'utilisateur accorde l'autorisation, alors le Trojan superpose l'interface des applications authentiques du Google Play Store et d'autres applications bancaires mobiles avec des fenêtres de phishing pour voler les informations d'identification des utilisateurs.

Le malware « force » en fait l’utilisateur à accorder toutes les autorisations nécessaires. Alors que le message à l'écran recherche des demandes d'autorisation apparemment authentiques, le cheval de Troie recherche en réalité des autorisations pour la superposition d'applications, les droits d'administrateur de l'appareil ; envoyer, consulter et recevoir des SMS et MMS ; passer des appels, lire et écrire des contacts et tous les autres droits qu'il désire. Le Cheval de Troie Fanta demande également l'autorisation pour BuildConfig, HindeKeybroad et ContextThemeWrapper. Le malware acquiert des informations téléphoniques telles que l'IMEI (International Mobile Equipment Identity), l'IMSI (International Mobile Subscriber Identity), SubscriberId, SimOperatorName et SimCountryIso.

Si l'utilisateur refuse l'autorisation à tout moment, le cheval de Troie « Gugi/Fanta/Lime » bloquera complètement l'appareil infecté. Pour retrouver l'accès à l'appareil, l'utilisateur n'a pas d'autre choix que de redémarrer en mode sans échec, puis d'essayer de supprimer/désinstaller le cheval de Troie à l'aide de solutions de sécurité.

Le cheval de Troie envoie un SMS à un serveur de commande et de contrôle (CnC) pour établir le contact. Il utilise le protocole WebSocket pour interagir avec ses serveurs CnC. Le malware superpose désormais les écrans d'applications authentiques avec des fenêtres de phishing et vole toutes les informations saisies sur les écrans, y compris les informations de connexion et les détails de la carte.

Le cheval de Troie « Gugi/Fanta/Lime » a été principalement utilisé jusqu'à présent pour attaquer des utilisateurs en Russie et, compte tenu de sa puissance, on peut s'attendre à ce qu'il soit utilisé dans le monde entier à l'avenir.

Comment rester protégé?

• Formation des utilisateurs/employés sur la cyber-sécurité
• Les utilisateurs ne doivent pas cliquer sur les liens contenus dans les SMS provenant de sources inconnues ni ouvrir les pièces jointes provenant de sources inconnues.
• Il serait plus sûr de ne cliquer sur aucun lien dans un SMS. La véritable expansion du lien hypertexte peut être vérifiée puis ouverte.
• Méfiez-vous de fournir des autorisations.
• Si une application demande un accès privilégié, soyez très prudent avant de fournir les autorisations.
• Phishing Les SMS et les e-mails peuvent provenir de véritables identifiants usurpés. Soyez conscient et méfiez-vous de telles tentatives.

COMMENCER L'ESSAI GRATUIT OBTENEZ GRATUITEMENT VOTRE SCORECARD DE SÉCURITÉ INSTANTANÉE

• Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
• Platoblockchain. Intelligence métaverse Web3. Connaissance Amplifiée. Accéder ici.
• La source: https://blog.comodo.com/comodo-news/comodo-detects-new-sophisticated-financial-malware/