Xenomorph : le malware peut maintenant voler les infos d’identification des clients de 400 banques

Il y a un peu plus d’un an, nous vous rapportions l’émergence de Xenomorph, un nouveau malware sévissant sur Android par l’intermédiaire d’applications du Play Store. Ce cheval de Troie bancaire a été repéré dans un nombre grandissant d’apps depuis un an, et une nouvelle variante encore plus dangereuse est en train d’apparaître.

La société Threat Fabric, qui était déjà à l’origine de la découverte de la première souche l’année dernière, fait savoir que cette dernière mouture de Xenomorph est désormais capable de subtiliser les informations d’identification des clients de 400 banques à travers le monde. La première version du malware visait « seulement » 56 banques, toutes européennes.

L’autre grand ajout apporté à cette version de Xenomorph est l’introduction d’un système de transfert automatisé rendant le vol de données bien plus efficace.

« Grâce à ses nouvelles fonctionnalités, Xenomorph est désormais en mesure d’automatiser toute la chaîne de fraude bancaire, de l’infection de l’appareil de l’utilisateur à l’exfiltration de fonds, ce qui en fait l’un des chevaux de Troie les plus avancés et les plus dangereux en circulation sur Android », estiment les experts de Threat Fabric.

Les créateurs du malware appartiennent au Hadoken Security Group qui n’exploite pas forcément lui-même Xenomorph, mais qui vend sa solution de piratage à d’autres acteurs malveillants. D’ailleurs, un site web faisant la promotion de la troisième génération de Xenomorph a été repéré en ligne. Celui-ci serait vendu sous la forme d’un MaaS (malware as a service), avec des mises à jour renforçant ses capacités.

La V3 de Xenomorph s’attaque notamment à des institutions financières des États-Unis, d’Espagne, de Turquie, de Pologne, d’Australie, du Canada, d’Italie, du Portugal, d’Allemagne, des Émirats arabes unis, d’Inde… et de France. BNP Paribas, La Banque Postale, Crédit du Nord, LCL, Crédit Agricole, Société Générale font partie de la longue liste de banques visées par le malware. 13 portefeuilles de crypto-monnaie, dont Binance, BitPay, KuCoin, Gemini et Coinbase sont aussi ciblés.