Les fraudes bancaires Android gagnent en ampleur. Des chercheurs en cybersécurité ont analysé deux campagnes distinctes : l’une autour de ToxicPanda 2.0, l’autre liée à GoldDigger, deux chevaux de Troie bancaires capables d’exploiter directement l’appareil de la victime pour voler des identifiants, déclencher des actions frauduleuses et dissimuler leurs activités.
Au-delà de la simple récupération de données, ces menaces mettent en avant des techniques centrées sur l’interface utilisateur (accessibilité, superpositions d’écran) et sur l’obtention de permissions sensibles. Résultat : l’attaque se déroule sur le smartphone lui-même, au plus près des applications bancaires et de crypto.
ToxicPanda 2.0 : davantage de commandes et un ciblage mondial
ToxicPanda (également connu sous le nom TgToxic) fait l’objet d’une mise à jour baptisée 2.0. Selon les analyses, cette version apporte des améliorations « significatives », notamment 167 commandes distantes et une extension du périmètre d’attaque à l’échelle mondiale.
Le malware est observé dans la nature depuis au moins juillet 2022. Dans la nouvelle mouture, une chaîne de traitement dédiée vise le vol de PIN en visant plus de 140 applications bancaires et liées aux cryptomonnaies.
Ce qui frappe le plus, c’est la logique d’exploitation des interfaces. Les chercheurs soulignent que les acteurs malveillants abusent du service d’accessibilité Android pour récupérer les éléments affichés à l’écran. En parallèle, ils déploient un mécanisme de vol d’identifiants via des superpositions conçues pour tromper la victime.
De l’écran à la crédential : évolution du périmètre
D’après les informations disponibles, la version la plus récente cible 349 institutions financières réparties sur 16 pays, contre seulement 16 applications bancaires pour la version précédente. Autrement dit, le malware passe d’un ciblage plus restreint à une campagne plus structurée et plus large.
Les nouvelles capacités incluent aussi des commandes auparavant non implémentées. La menace est capable de siphonner des informations d’un écran de verrouillage au moyen d’un faux overlay, et d’orchestrer des actions automatisées.
Superpositions système, capture de PIN et automatisation via ADB
ToxicPanda 2.0 cherche à masquer ses actions en affichant, par moments, des overlays plein écran de type « mise à jour système ». Cette approche sert à rendre les activités d’arrière-plan moins visibles. De plus, le malware peut utiliser un overlay transparent et invisible pour capter les touches, puis récolter des codes PIN.
Autre point clé : l’introduction d’un mécanisme automatisé basé sur les clics pour abuser du débogage sans fil d’Android à l’aide d’ADB (Android Debug Bridge). L’objectif est d’obtenir une élévation de privilèges et un accès niveau « shell » sur l’appareil compromis.
Concrètement, l’attaque s’appuie sur les services d’accessibilité pour activer les options développeur et mettre en route le débogage sans fil. Une fois ces prérequis franchis, l’opérateur peut exploiter davantage l’environnement Android.
Chaîne d’attaque : C2, WebSocket et demandes de permissions
Sur le plan de la communication, ToxicPanda 2.0 se connecte à son serveur command-and-control (C2). La première étape consiste en une requête initiale via HTTPS afin d’établir un canal de communication bidirectionnel, basé sur WebSocket.
Cette architecture permet de recevoir des commandes et d’échanger des données avec le serveur distant. Dans le même temps, le malware demande et exploite des permissions afin d’étendre son champ d’action : capture d’informations, abus des interactions et exécution d’actions dissimulées.
Permissions d’administration, verrouillage et adaptation à l’appareil
La mise à jour ajoute des fonctionnalités visant directement l’autonomie du malware sur le terminal. Parmi elles :
- Une manipulation de l’utilisateur pour obtenir des droits d’administrateur de l’appareil.
- La capacité à écraser le code PIN ou le mot de passe de verrouillage local avec une valeur définie par l’attaquant.
- Un profilage de l’appareil afin d’identifier le fabricant (OEM) et d’adopter des mesures adaptées.
Les chercheurs indiquent que l’attaque peut utiliser les services d’accessibilité pour contourner des politiques liées à l’optimisation de la batterie, afin de conserver l’exécution en arrière-plan. En pratique, cela rend l’infection plus persistante.
Nouvelle méthode de distribution : recours à des buckets AWS
Un autre signal important concerne la façon de distribuer ToxicPanda 2.0. Les analyses évoquent un changement : des échantillons du malware seraient fournis via des espaces de stockage hébergés sur Amazon AWS (buckets). L’idée est d’exploiter l’infrastructure cloud pour faciliter le déploiement et la diffusion.
Ce type de stratégie peut rendre le suivi plus complexe, car l’accès aux ressources peut varier selon la configuration et la manière dont les liens sont servis.
GoldDigger : une campagne distincte, axée sur la fraude sur l’appareil
En parallèle, un autre trojan bancaire Android, GoldDigger, attire l’attention. Déjà documenté en octobre 2023, il a été décrit comme capable de mener une fraude « on-device », c’est-à-dire directement depuis l’appareil de la victime.
La menace est attribuée à GoldFactory, un acteur de menace associé à d’autres familles ciblant différents types de plateformes, dont Android et iOS, avec des noms de familles proches comme GoldPickaxe, GoldDiggerPlus et GoldKefu.
Contournement de l’analyse et techniques d’évasion
D’après les informations disponibles, GoldDigger s’appuie sur un mécanisme de protection appelé dpt-shell pour obscurcir son code et ses ressources et rendre l’analyse plus difficile.
La menace intègre aussi des techniques d’évasion, dont :
- Le chiffrement de sa logique native.
- La détection de la présence de Frida ; si l’environnement est identifié, le processus peut être interrompu.
- La prévention d’outils de debug externes via un marquage lié à l’appel PTRACE lorsqu’une trace est détectée.
Afrique du Sud et Royaume-Uni : usurpation d’applications
La campagne GoldDigger actuelle se concentre principalement sur l’Afrique du Sud et le Royaume-Uni. Les contenus utilisés pour attirer les victimes imitent des compagnies aériennes et des enseignes de e-commerce.
Une fois l’application installée, la victime est invitée à accorder des autorisations de services d’accessibilité. C’est précisément là que le malware peut agir : il abuse de ces permissions pour déclencher des actions frauduleuses.
Faux overlays et injection d’actions dans les apps bancaires
GoldDigger peut injecter des entrées dans l’application bancaire pour simuler des interactions : saisie de texte, clics sur des boutons et gestes. À partir de là, le malware peut initier des transactions frauduleuses depuis l’application bancaire de la victime.
La menace peut également offrir à l’opérateur un accès en temps réel à l’écran de la victime, capturer des informations saisies via des superpositions factices, et exécuter une application dans un environnement virtuel afin d’observer le comportement en exécution et d’intercepter des données sensibles.
Fonctions C2 et collecte : WebSocket, médias et données
Pour son contrôle à distance, GoldDigger établit une connexion WebSocket. Les commandes permettent ensuite au malware de demander des permissions (accessibilité, localisation), de collecter des informations et d’agir sur le terminal.
Par exemple, les analyses indiquent que GoldDigger peut :
- Capturer des entrées provenant d’autres applications via les services d’accessibilité.
- Collecter des contacts et des messages SMS.
- Enregistrer de l’audio et de la vidéo, puis les diffuser vers le C2 via le protocole RTMP.
- Ouvrir des URL et des applications spécifiques (y compris Google Play Store et l’écran Paramètres).
Comment réduire le risque : vérifications simples mais efficaces
Face aux fraudes bancaires Android portées par ces malwares, quelques gestes peuvent réduire l’exposition. Les recommandations de sécurité disponibles se résument à des mesures concrètes :
- Vérifiez les applications installées et supprimez celles qui vous semblent inconnues ou suspectes.
- Contrôlez les permissions demandées avant d’accorder l’accès aux services sensibles.
- Installez des applications uniquement depuis des sources et des développeurs fiables.
- Mettez à jour votre appareil pour corriger les failles et incohérences.
- Activez la double authentification (2FA) sur tous vos comptes en ligne.
- Surveillez les comptes bancaires et prêtez attention aux transactions inhabituelles.
Conclusion : vigilance accrue contre les attaques « on-device »
ToxicPanda 2.0 et GoldDigger illustrent une tendance claire : la fraude ne se limite plus à des liens trompeurs ou à des opérations à distance. Ces malwares visent l’appareil lui-même, en abusant de l’accessibilité, en masquant leurs actions avec des superpositions, et en volant des informations au moment où l’utilisateur interagit avec les applications.
En combinant une vigilance sur les applications, un contrôle strict des autorisations et des mesures d’authentification renforcées, vous augmentez nettement vos chances de limiter les impacts de ces fraudes bancaires Android.
Source: https://thehackernews.com/2026/08/toxicpanda-20-and-golddigger-expand.html
