200 apps bancaires visées par un malware

Le cheval de trois bancaire Sova a développé une série de nouvelles fonctionnalités. Parmi elles, la diffusion de rançongiciels.

Sova a commencé à montrer le bout de son nez en septembre 2021. Mauvaise nouvelle, il revient en étant encore plus en forme et encore plus dangereux qu’avant. Pour rappel, ce logiciel malveillant se diffuse via de fausses applications. Plus de 200 sont concernées par cette nouvelle mise en garde, notamment des applications bancaires et des portefeuilles de crypto-monnaie.

Déjà à ses débuts, le logiciel malveillant Sova était capable de collecter des noms d’utilisateur et des mots de passe par keylogging, de voler des cookies et d’ajouter de fausses superpositions à toute une série d’applications. Le keylogging consiste à enregistrer les suites de touches tapées sur un clavier.

Selon les chercheurs en cybersécurité de la société de prévention de la fraude en ligne Cleafy, depuis sa mise à jour, le logiciel dispose de nouvelles capacités. “Même si, à l’époque, l’auteur affirmait que le logiciel malveillant était encore en cours de développement, il possédait en fait déjà de multiples capacités et était pratiquement en phase de commercialisation”, introduisent les chercheurs.

La première version de Sova visait près de 90 applications. Désormais, le malware est capable d’imiter plus de 200 applications bancaires et de paiement, de cibler les portefeuilles de cryptomonnaies en tant que cheval de troie – mais aussi conditionner la récupération des données personnelle chiffrées au versement d’une certaine somme, généralement en cryptomonnaies. On parle donc ici d’une nouvelle activité de “rançongiciel”.

Les attaquants peuvent désormais faire des captures d’écran de l’appareil et enregistrer de l’audio depuis le smartphone infecté. Ils peuvent aussi gérer de multiples commandes, comme le clic sur l’écran, le swipe, le copier/coller et la possibilité d’afficher un écran superposé pour cacher l’écran à la victime.

Autre avantage de ces commandes pour le pirate, si la victime essaie de désinstaller le malware à partir des paramètres ou en appuyant sur l’icône, Sova est capable d’intercepter ces actions et de les empêcher. Cela peut se faire en revenant à l’écran d’accueil de façon forcée et en affichant une fenêtre indiquant “Cette application est sécurisée”. Les cybercriminels ont également refactorisé et amélioré le mécanisme de vol de cookie.

Un nouveau module dédié à l’échange Binance et au Trust Wallet, le portefeuille cryptographique officiel de Binance, a fait son apparition. Son but est d’obtenir différentes informations, comme le solde du compte, les différentes actions effectuées par la victime à l’intérieur de l’application et la combinaison utilisée pour accéder au portefeuille de crypto-monnaie.