Un cheval de Troie dissimulé dans une fausse application de streaming pirate directement les comptes bancaires depuis le smartphone Android des victimes.

Une chaîne d’infection hautement furtive

Le malware se propage sous le masque de « Nexo TV », un lecteur vidéo frauduleux conçu pour déjouer tous les outils d’analyse statique et dynamique.

• Bombe XML destructrice : Le fichier manifest est artificiellement gonflé à 56 Mo via des balises remplies de texte devanagari pour saturer la mémoire des décompilateurs JADX et des sandboxes.

• En-têtes ZIP corrompus : Des indicateurs d’encryptage factices bloquent l’extraction automatisée des archives APK par les analyseurs de sécurité.

• Déploiement en trois phases : L’attaque mobilise un compte-gouttes initial (dropper) de 12,5 Mo, suivi d’un chargeur Dalvik intermédiaire puis d’un cœur bancaire final.

• Exécution sans fichier physique : La charge utile finale s’exécute directement en mémoire vive via InMemoryDexClassLoader sans jamais déposer d’artéfacts DEX sur le disque dur du téléphone.

• Chiffrement hybride sur mesure : Le code binaire de second niveau utilise des opérations combinées XOR et logiques associées à une compression GZIP.

« Le malware exécute la fraude directement depuis le terminal pour contourner le géorepérage IP et l’empreinte matérielle des banques. »

L’automatisation chirurgicale du vol

Contrairement aux outils de prise en main à distance classiques, ce programme intègre un système de transfert automatisé ultra-rapide.

• Détournement d’accessibilité : Dès qu’une application financière ciblée (telle que BaridiMob) s’ouvre, le trojan utilise la fonction dispatchGesture() pour naviguer seul dans les menus.

• Virement instantané de fonds : Le code injecte automatiquement le relevé d’identité bancaire d’un compte mule et déclenche la demande de code de sécurité.

• Interception silencieuse des SMS : Le module intercepte les messages d’authentification à double facteur (2FA) au niveau du système, extrait le code par expressions régulières et coupe les notifications sonores.

• Validation éclair en 2,5 secondes : La confirmation du transfert s’exécute en un temps record avant la moindre réaction de l’utilisateur.

• Écran de camouflage trompeur : L’application affiche une fausse interface de « mise à jour du système » pour dissimuler les opérations de transfert en arrière-plan.

• Tunnel VPN local prédateur : Un réseau virtuel force tout le trafic réseau vers l’adresse locale 10.99.0.1 pour espionner les flux bancaires tout en exemptant Google Play Protect de la surveillance.

Une infrastructure de commande démasquée

L’analyse de l’ingénierie inverse a permis de cartographier l’infrastructure technique et les serveurs de contrôle de l’offensive.

• Panneaux DNS passifs : L’opérateur malveillant orchestre son botnet à travers des interfaces de gestion hébergées sous le domaine dashboardcas.eusaox.top.

• Attribution géographique : La traçabilité du système autonome AS213186 relie l’enregistrement des machines de commande à un groupe opérant depuis New Delhi, en Inde.

• Contournement des protections logicielles : Le module central neutralise le drapeau de sécurité Android FLAG_SECURE pour capturer les données confidentielles à l’écran.

• Diffusion d’indicateurs de compromission : Les signatures cryptographiques SHA-256 et la documentation technique complète ont fait l’objet d’une publication ouverte sous statut TLP:CLEAR.

Entre les lignes

Cette menace matérialise l’avènement des fraudes à l’appareil (On-Device Fraud), rendant obsolètes les architectures de défense bancaires traditionnelles. Jusqu’ici, les établissements financiers bloquaient les attaques en détectant les connexions provenant d’adresses IP suspectes ou d’appareils non reconnus. En déléguant l’exécution du vol au smartphone légitime de la victime tout en interceptant les SMS à la source, les cybercriminels transforment le terminal de confiance en arme contre son propre propriétaire. Cette mutation technique oblige désormais les institutions bancaires à abandonner la validation par SMS au profit de mécanismes d’authentification biométriques continus et d’analyses comportementales en temps réel capables de déceler des clics automatisés sur l’interface.