// CLUBIC — MOBILE & WEB
Ce malware bancaire détourne le VPN d’Android pour neutraliser les protections système et siphonner vos identifiants
ToxicPanda revient dans une version nettement plus agressive. Le cheval de Troie bancaire détourne désormais le VPN d’Android pour bloquer les communications du Play Store et des Google Play Services, puis exploite les services d’accessibilité et de débogage afin d’étendre son contrôle sur l’appareil.
Le nom de ToxicPanda vous dit peut-être déjà quelque chose. Repéré en 2024 par Cleafy, ce malware bancaire Android avait déjà infecté plus de 1 500 appareils, principalement en Europe, dans le but de prendre le contrôle de comptes bancaires et d’effectuer des transactions frauduleuses. Deux ans plus tard, Zimperium alerte sur une version 2.0 bien plus ambitieuse. Le malware cible désormais 349 applications financières dans 16 pays et surtout, il combine plusieurs fonctions légitimes d’Android pour contourner les protections natives du système et gagner de nouveaux privilèges.
Dans le détail, ToxicPanda 2.0 mise sur une manœuvre assez inhabituelle : il demande à sa victime la permission d’établir une connexion VPN. Pour rendre la demande crédible, le malware affiche une fausse interface imitant le Play Store avant de déclencher la véritable fenêtre d’autorisation d’Android. Une fois celle-ci accordée, il crée un réseau privé virtuel local qui lui permet de filtrer le trafic réseau et de bloquer les communications du Google Play Store et des Google Play Services. Il peut ainsi techniquement perturber les vérifications de sécurité, les mises à jour ou encore les échanges avec Play Protect avant l’installation de sa charge malveillante.
ToxicPanda cherche ensuite à obtenir l’accès aux services d’accessibilité, qui lui ouvrent la voie vers un outil bien plus puissant : Android Debug Bridge, ou ADB. Destiné à l’origine aux développeurs, ADB permet d’exécuter des commandes directement sur un appareil Android. Grâce aux droits d’accessibilité, le trojan peut activer les options développeur et le débogage sans fil, récupérer le code d’appairage et le port nécessaires, puis se connecter lui-même à ADB. Il peut alors envoyer directement des commandes au système pour s’octroyer davantage de permissions, contourner les restrictions d’exécution en arrière-plan et renforcer sa persistance.
À cela s’ajoutent enfin les fonctions plus classiques d’un cheval de Troie bancaire. ToxicPanda 2.0 prend en charge 167 commandes à distance et des écrans de phishing visant 349 applications bancaires, financières, de cryptomonnaies et de portefeuilles numériques. Il peut également reproduire l’écran de verrouillage pour récupérer un code PIN, un schéma ou un mot de passe, tandis que de faux écrans de mise à jour servent à masquer son activité.
La bonne nouvelle, c’est que ToxicPanda a besoin de plusieurs autorisations sensibles pour déployer tout son arsenal. Cette nouvelle version est distribuée via des fichiers hébergés sur des infrastructures AWS, et non directement par le Play Store. Première précaution, donc : éviter d’installer des APK provenant de liens ou de sources inconnues, même lorsqu’ils imitent une application ou une mise à jour légitime.
Une application qui réclame sans raison évidente l’autorisation de créer un VPN ou d’utiliser les services d’accessibilité doit également éveiller les soupçons. Même chose si les options développeur ou le débogage sans fil s’activent sans que vous en soyez à l’origine. Ces fonctions ont des usages parfaitement légitimes, mais une application bancaire, un utilitaire ou une fausse mise à jour n'ont généralement aucune raison d’en avoir besoin.
En cas de doute sur un appareil potentiellement compromis, commencez par révoquer ces autorisations, supprimer l’application suspecte et vérifier que le débogage sans fil est bien désactivé. Si vous avez saisi des identifiants bancaires pendant l’infection, changez-les rapidement depuis un appareil sain et contactez votre banque. Modifiez aussi le code PIN, le mot de passe ou le schéma utilisé pour verrouiller votre smartphone s’il a pu être intercepté.
Sur Android