EventBot est prêt à voler des mots de passe bancaires en ligne et des codes de vérification 2FA
Bien que le paysage des menaces en ligne change tout le temps, le nombre de nouveaux noms qui y apparaissent n'est pas vraiment énorme. En fait, la plupart des soi-disant nouvelles familles de logiciels malveillants sont soit des versions remaniées de menaces existantes, soit des collections de modules et de composants volés à des souches connues et regroupées sous un nouveau nom. Les chercheurs en sécurité voient rarement de nouveaux échantillons de logiciels malveillants qui ont été écrits à partir de zéro, et les quelques menaces qui ont été créées à partir de zéro sont généralement peu sophistiquées et ont une durée de vie plutôt courte. Il existe cependant des exceptions à ces règles, et il semble que EventBot pourrait être l'une d'entre elles.
EventBot - une toute nouvelle famille de malwares Android qui cible plus de 200 applications bancaires
Début mars, des chercheurs en sécurité de Cybereason sont tombés sur un cheval de Troie bancaire Android non documenté, appelé EventBot, qui, après une inspection plus approfondie, s'est avéré être tout nouveau. En fait, le malware est toujours en développement. Quand ils le lancent, les escrocs prévoient de le masquer comme les versions Android de divers logiciels comme Adobe Flash et Microsoft Word, mais jusque-là, ils ont apparemment décidé qu'ils avaient beaucoup de travail à faire.
En quelques semaines, les chercheurs de Cybereason ont trouvé pas moins de quatre versions différentes du cheval de Troie EventBot. Chacun d'eux est venu avec de nouvelles fonctionnalités uniques qui le rendaient meilleur que les précédents.
Dans une interview pour TechCrunch, Assaf Dahan, responsable de la recherche sur les menaces chez Cybereason, a déclaré que les développeurs d'EventBot avaient investi beaucoup de ressources dans leur création, et le résultat est un malware bancaire hautement sophistiqué et extrêmement capable.
L'objectif principal d'EventBot est de voler discrètement les identifiants de connexion des victimes pour "plus de 200" applications bancaires, de transfert d'argent et de crypto-monnaie. Mais cela peut faire bien plus que cela.
Comment fonctionne EventBot
Lors de l'installation, EventBot demande un large éventail d'autorisations, qui sont essentielles pour les opérations du malware. Après cela, il demande l'accès aux services d'accessibilité du téléphone et télécharge un fichier de configuration à partir de son serveur Command & Control (C&C). À l'aide des autorisations reçues lors de l'installation, il crée un fichier et le remplit d'informations sur l'appareil compromis et les applications installées sur celui-ci. Ce fichier est renvoyé au C&C via une connexion cryptée, puis la véritable opération malveillante peut démarrer.
Comme nous l'avons déjà mentionné, EventBot reçoit actuellement des mises à jour régulières, et les nouvelles versions le rendent non seulement plus difficile à détecter, mais aussi plus polyvalent. En plus des améliorations comme un mécanisme de cryptage plus fort pour la communication avec le C&C, les escrocs ajoutent des fonctionnalités qui permettent à EventBot d'enregistrer les frappes, de lire les notifications d'autres applications et d'intercepter les messages SMS. En conséquence, les opérateurs d'EventBot peuvent théoriquement voler les mots de passe à usage unique que vous recevez sous forme de messages texte, contourner l'authentification à deux facteurs et compromettre votre compte. C'est la théorie, mais qu'en est-il de la pratique?
À quel point EventBot peut-il être dangereux?
Cela dépend en grande partie de ce que les escrocs prévoient d'utiliser pour infecter les victimes. Les magasins d'applications tiers ont toujours été un outil utile pour distribuer des logiciels malveillants Android, mais après une série d'attaques à grande échelle, de nombreuses personnes ont pris conscience des dangers qui leur sont associés et ont commencé à télécharger des applications à partir de Google Play uniquement.
Pendant ce temps, Google a apporté quelques améliorations au processus de filtrage sur l'App Store officiel d'Android, mais des incidents occasionnels prouvent que la sécurité de l'ensemble de l'écosystème n'est pas aussi bonne qu'elle devrait l'être.
Compte tenu du temps et des efforts consacrés à EventBot, il est raisonnable de supposer que les escrocs vont essayer de trouver un vecteur d'infection convaincant qui trompera un nombre important de personnes. Il n'est pas clair quand ils prévoient de lancer le malware sur le monde, ce qui signifie que vous pourriez aussi bien commencer à être un peu plus prudent en ce moment.
