Le trojan Hirudo remplace des applis bancaires Android par des versions modifiées pour contourner leurs protections.

Un nouveau trojan Hirudo vient d’être décrit par des chercheurs en cybersécurité. Ce logiciel malveillant cible les utilisateurs Android. Il ne se contente pas de surveiller l’application bancaire. Il la remplace par une version spécialement modifiée, conçue pour désactiver ses protections de l’intérieur. Cette méthode marque une nouvelle étape dans la fraude financière sur mobile.

Ce que l’on sait du trojan Hirudo

C’est la société néerlandaise de sécurité mobile ThreatFabric qui a révélé l’existence de ce malware. Ses analystes ont identifié des remplacements pour huit applications bancaires indonésiennes. Autrement dit, la campagne observée vise des clients de banques d’Indonésie.

Hirudo est classé comme cheval de Troie bancaire. Ce type de malware cherche à détourner des opérations financières. Il vise aussi les identifiants de la victime. Toutefois, son mode opératoire se distingue de celui des familles plus classiques.

À ce stade, les informations publiques restent limitées. Nous nous en tenons donc aux éléments confirmés. Les détails techniques complémentaires dépendront des analyses à venir.

Des applications patchées plutôt que des applications surveillées

La plupart des chevaux de Troie bancaires fonctionnent en parallèle de l’application légitime. Ils affichent par exemple de fausses fenêtres par-dessus l’écran réel. Ils peuvent aussi lire le contenu affiché. Cependant, les banques ont appris à détecter ces comportements.

Hirudo change d’approche. Les attaquants fournissent leur propre version de l’application, modifiée sur mesure. Cette version « patchée » est conçue pour contourner les contrôles de sécurité depuis l’intérieur de l’application. L’application bancaire ne protège donc plus l’utilisateur comme prévu.

Cette logique est redoutable. En effet, les vérifications intégrées sont censées repérer un environnement suspect. Si elles sont neutralisées dans le code lui-même, elles ne déclenchent plus d’alerte. L’application a l’apparence de l’originale. Pourtant, ses défenses ont été retirées ou affaiblies.

Pourquoi cette technique inquiète les banques

Les établissements financiers investissent beaucoup dans la protection de leurs applications. Ils ajoutent des contrôles d’intégrité et des détections de comportements anormaux. Ces mécanismes forment une barrière importante contre la fraude mobile.

Or, le trojan Hirudo s’attaque directement à cette barrière. Il ne cherche pas à la contourner de l’extérieur. Il fournit une application dans laquelle elle a été modifiée. Par conséquent, les défenses embarquées perdent une grande partie de leur valeur.

De plus, cette méthode peut tromper l’utilisateur. Celui-ci voit une application qui ressemble à celle de sa banque. Il ne remarque pas toujours que le fichier installé n’est pas l’original. Ainsi, la confiance dans l’interface devient un levier pour l’attaquant.

Les banques ne peuvent donc plus se reposer uniquement sur les contrôles locaux. Elles doivent aussi surveiller les signaux côté serveur. Il s’agit par exemple de l’empreinte de l’appareil ou du comportement des sessions. Ces recoupements aident à repérer une application altérée, même quand ses propres vérifications sont muettes.

Ce qu’il faut retenir

Cette découverte rappelle un principe simple. Une application bancaire n’est fiable que si elle provient de la source prévue. Voici les réflexes à adopter, en particulier pour les utilisateurs de smartphones Android.

• Installer uniquement depuis les sources officielles : la boutique officielle ou le site de la banque.
• Se méfier des liens et des fichiers APK reçus par message, par courriel ou sur des sites tiers.
• Refuser les demandes inhabituelles de remplacer ou de réinstaller l’application bancaire.
• Vérifier les autorisations demandées, notamment l’accès aux services d’accessibilité.
• Activer les alertes bancaires pour détecter vite toute opération suspecte.
• Contacter sa banque en cas de doute, puis désinstaller l’application concernée.

Pour les équipes de sécurité des banques, l’enseignement est clair. Les protections intégrées à l’application doivent être complétées par des contrôles indépendants. Enfin, la veille sur les menaces mobiles reste essentielle. Elle permet de repérer tôt les versions modifiées en circulation.

Les chercheurs de ThreatFabric ont documenté la campagne ciblant huit applications indonésiennes. D’autres cibles pourraient apparaître, car la méthode est reproductible. Il faudra donc suivre l’évolution de ce malware dans les prochaines semaines.

Source : Hirudo Android Trojan Uses Patched Banking Apps to Bypass Their Built-In Security Checks