ThreatFabric a publié le 14 octobre une analyse de Hirudo, un cheval de Troie bancaire Android qui combine vol d’identifiants et contrôle à distance. Sa particularité documentée est de remplacer certaines applications bancaires par des copies modifiées qui neutralisent leurs contrôles internes. La recherche décrit huit applications de sept banques indonésiennes disposant de versions adaptées.
Comment Hirudo arrive sur un téléphone
Le malware est distribué avec des applications leurres de shopping ou de divertissement. Après l’installation, une fausse mise à jour pousse un second APK et demande des autorisations sensibles. Le rapport détaille le rôle des services d’accessibilité dans l’installation et le contrôle de l’appareil.
Des copies modifiées des applications bancaires
Pour les applications ciblées, Hirudo tente de désinstaller la version authentique puis d’installer une copie modifiée portant le même nom de paquet. Un moteur d’interception peut masquer certains contrôles de signature ou d’intégrité et collecter des identifiants. Cette technique nécessite des actions et autorisations; elle ne compromet pas automatiquement tous les appareils Android.
Le périmètre observé et ses limites
ThreatFabric a identifié huit remplacements adaptés pour sept banques indonésiennes. D’autres pays apparaissent dans les listes de cibles, mais cela ne prouve pas que des victimes y ont été confirmées. Le rapport mentionne des milliers d’enregistrements dans un panneau observé en août, sans établir un décompte de victimes distinctes.
Que faire si une application paraît suspecte
N’installez pas d’APK via un lien reçu et ne validez pas une mise à jour apparue hors du canal attendu. Si vous avez accordé des autorisations d’accessibilité à une application inconnue, contactez votre banque par son site officiel, vérifiez les opérations depuis un autre appareil sûr et faites examiner le téléphone.
Le lien avec Soclyde
Des mots de passe uniques réduisent la réutilisation entre services, mais ne rendent pas sûr un téléphone contrôlé par un malware. Soclyde aide à gérer les accès sans remplacer les protections de l’application bancaire ni l’analyse de l’appareil. Consultez le guide sur les mots de passe réutilisés.
À retenir
Hirudo montre pourquoi une application bancaire familière peut avoir été modifiée. Évitez les installations inattendues, examinez les demandes d’autorisations et contactez votre banque si vous suspectez une altération.
