Le cheval de Troie bancaire PixPirate cible les appareils Android

Les opérateurs du cheval de Troie bancaire Android PixPirate ont adopté une nouvelle tactique pour échapper à la détection sur les appareils compromis et collecter des données sensibles auprès des utilisateurs au Brésil. Selon le récent rapport technique d'IBM, cette méthode consiste à masquer l'icône de l'application malveillante sur l'écran d'accueil de l'appareil de la victime.

Le chercheur en sécurité Nir Somech a expliqué que cette approche garantit que les victimes ignorent les activités malveillantes menées par le malware en arrière-plan pendant les phases de reconnaissance et d'attaque.

PixPirate, initialement identifié par Cleafy en février 2023, est connu pour exploiter les services d'accessibilité d'Android pour exécuter des transferts de fonds non autorisés via la plateforme de paiement instantané PIX lorsque les utilisateurs accèdent à des applications bancaires ciblées.

Ce malware, qui mute constamment, peut également voler les identifiants bancaires en ligne, les détails des cartes de crédit, intercepter les messages SMS et capturer les frappes au clavier pour accéder aux codes d'authentification à deux facteurs.

PixPirate se propage via des textes et des applications sociales

La méthode de distribution typique implique les SMS et WhatsApp, avec une application compte-gouttes facilitant le déploiement de la charge utile principale de la fraude financière. Somech a précisé que dans le cas de PixPirate, le téléchargeur installe non seulement la charge utile mais l'exécute également, jouant un rôle actif dans les activités malveillantes en communiquant avec la charge utile principale et en exécutant des commandes.

Le téléchargeur invite les utilisateurs à mettre à jour l'application, en récupérant le composant PixPirate d'un serveur contrôlé par l'acteur menaçant ou en l'installant s'il est intégré à lui-même. Notamment, la dernière version de la charge utile principale n'inclut plus l'activité permettant de lancer l'application depuis l'écran d'accueil en appuyant sur son icône. Cela signifie que le téléchargeur et la charge utile principale doivent collaborer, le téléchargeur se liant à un service exporté par la charge utile principale pour exécuter l'APK PixPirate.