Un nouveau malware qui vise les applications bancaires a été découvert. Il est installé grâce à de fausses applications sur le Play Store de Google. Baptisé Vultur, il utilise un serveur VNC pour enregistrer tout ce qui se passe à l’écran.
[EN VIDÉO] Qu’est-ce qu’une cyberattaque ? Avec le développement d’Internet et du cloud, les cyberattaques sont de plus en plus fréquentes et perfectionnées. Qui est derrière ces attaques et dans quel but ? Quelles sont les méthodes des hackers et quelles sont les cyberattaques les plus massives ?
L’entreprise de cybersécurité ThreatFabric a repéré un malware bancaire qui utilise une nouvelle technique pour voler les mots de passe. La plupart des programmes de ce type affichent une page Web par-dessus les applications bancaires, invitant l’utilisateur à saisir ses identifiants. Ce nouveau malware, baptisé Vultur, s’appuie sur un serveur VNC, une technologie qui lui permet d’enregistrer et diffuser tout ce qui se passe sur l’écran en temps réel.
Vultur est installé grâce à Brunhildar, un malware contenu dans des fausses applications sur le Play Store. Brunhilda est un « dropper », autrement dit sa seule fonction est de permettre l’installation d’autres malwares. Vultur doit obtenir des autorisations pour enregistrer l’écran et effectuer des actions, et pour cela trompe les utilisateurs en affichant une surcouche déjà vue avec d’autres malwares.
Plus de 30.000 installations potentielles
Le malware surveille l’utilisation des applications et se lance dès qu’il détecte une des 103 applications cibles sur sa liste. Il capture ensuite l’écran du smartphone ainsi que toutes les saisies au clavier afin d’obtenir les identifiants bancaires, ainsi que ceux de Facebook, Viber et TikTok. Vultur vise actuellement des applications pour des banques en Italie, en Espagne, aux Pays-Bas, au Royaume-Uni et en Australie. Le malware est basé sur plusieurs applications légitimes, dont AlphaVNC pour le serveur VNC, ngrok pour s’assurer que le serveur VNC est accessible à distance, et Firebase de Google pour pouvoir recevoir des commandes d’un serveur de contrôle.
La présence de Vultur est assez simple à détecter puisque l’icône « Caster » dans la zone de notification d’Android indique que « Protection Guard » diffuse l’écran. Toutefois, le malware est difficile à supprimer puisqu’il active la fonction « Retour » dès que le smartphone affiche l’écran permettant de le désinstaller. La fausse application Protection Guard a été installée plus de 5.000 fois avant d’être retirée du Play Store. Toutefois, ThreatFabric estime que de fausses applications contenant Brunhildar, qui peut installer différents malwares dont Vultur, ont été installées plus de 30.000 fois.