Zimperium, spécialiste mondial de la sécurité mobile, a publié une nouvelle découverte de son équipe zLabs : un trojan bancaire mobile en pleine évolution, baptisé DoubleTrouble. Ce malware, dont le nom fait référence aux méthodes aléatoires composés de deux mots, a rapidement gagné en sophistication. Il intègre désormais des fonctionnalités avancées telles que l’enregistrement d’écran, les captures de frappes (keylogging) et de superposition d’interface utilisateur conçues pour voler des identifiants et prendre le contrôle à distance des appareils infectés.
Tribune – Initialement propagé via des sites de phishing usurpant l’identité de banques européennes, DoubleTrouble utilise désormais des fichiers APK hébergés sur Discord pour diffuser le malware. Cette évolution reflète une tendance inquiétante : l’utilisation croissante des plateformes de réseaux sociaux comme canaux de diffusion des malwares mobiles.
Grâce à des techniques d’obfuscation avancées et à l’exploitation des services d’accessibilité d’Android, DoubleTrouble contourne les méthodes de détection traditionnelles et exécute en toute discrétion toute une série d’actions malveillantes, notamment :
- Le vol d’identifiants de l’écran de verrouillage via de fausses interfaces utilisateur
- L’enregistrement d’écran pour capturer les identifiants, mots de passe et codes à usage unique (OTP)
- Le blocage des applications bancaires ou de sécurité légitimes via de faux messages de « maintenance du système »
- L’enregistrement de chaque frappe effectuée sur le clavier en temps réel
- L’usurpation d’applications de confiance grâce à des surcouches HTML personnalisées pour voler des données sensibles
« Alors que les cybercriminels adoptent des stratégies centrées sur le mobile et utilisent des canaux de diffusion dynamiques tel que Discord pour contourner les défenses traditionnelles, les entreprises ont besoin d’une protection en temps réel directement sur les terminaux. DoubleTrouble illustre clairement à quel point les menaces mobiles deviennent plus furtives et dangereuses, ciblant aussi bien les identifiants bancaires que les portefeuilles de cryptomonnaies. » déclare Kern Smith, VP Solutions Engineering de Zimperium.
