Le nouveau malware qui vide les portefeuilles crypto

Un nouveau logiciel malveillant appelé Crocodile cible les appareils Android dans le but de voler des clés privées, des informations d’identification sensibles et des codes d’authentification à deux facteurs (2FA) des portefeuilles de crypto-monnaie. Initialement découvert en Espagne et en Turquie, Crocodilus utilise des techniques très sophistiquées d’ingénierie sociale, de télécommande et de phishing de superposition pour prendre le contrôle total de l’appareil de la victime. La menace est considérée comme une évolution rapide et avec un potentiel de propagation mondiale.

Examinons en détail les caractéristiques techniques de Crocodilus, son fonctionnement et les contre-mesures à adopter.

Quel est le logiciel malveillant Crocodilus

Crocodilus appartient à la catégorie des chevaux de Troie bancaire Android et a été identifié par l’équipe de tissu de menace comme un modulaire et avancé menaces mobiles. En dépit d’être une variante relativement récente, elle présente déjà des caractéristiques typiques des logiciels malveillants mobiles de nouvelle génération :

• Attaques de superposition
• Journalisation du clavier
• Accès à distance et contrôle des périphériques
• Escamotage pour l’évasion des défenses Android avancées

Le malware se comporte comme un classique Takeover de l’appareil Trojan nécessitant l’activation du service d’accessibilité au moment de l’installation, ce qui lui offre un accès complet à l’écran, au clavier virtuel et à la possibilité de simuler des touches ou des entrées.

Techniques d’attaque employées

Les méthodes opérationnelles de Crocodilus sont basées sur une combinaison mortelle d’ingénierie sociale et d’exploitation des autorisations nécessaires pour fonctionner.

Caractéristiques principales du malware :

• Accès complet à l’appareil grâce à la maltraitance du service d’accessibilité
• Technique de phishing par superposition pour capturer des données sensibles
• Keylogger avancé avec des capacités d’enregistrement d’entrée même dans les applications sécurisées
• Captures d’écran invisibles à l’utilisateur pour voler les codes des applications 2FA
• Communication avec le serveur C2 pour la transmission des données volées
• Évasion active des protections dans les systèmes Android 13+

Diffusion et objectif

Le malware a été identifié pour la première fois en Espagne et en Turquie, mais les chercheurs prédisent une expansion globale rapide de sa portée. L’objectif principal de Crocodilus est le vol systématique de crypto-monnaies, en particulier à partir des principales applications crypto installées sur Android.

Parmi les cibles identifiées :

• Portefeuilles crypto (portefeuille de confiance, métamask, exode)
• Applications bancaires et d’investissement
• Applications d’authentification à deux facteurs (Google Authenticator, Authy, etc.)

Mécanisme du vol 2FA et de la phrase de graines

L’un des aspects les plus insidieux de Crocodilus est sa capacité à simuler les écrans d’application de portefeuille d’origine, incitant l’utilisateur à divulguer des données critiques telles que la phrase de graines. Cela se produit via de faux messages affichés dans la superposition, par exemple :

«Soutenez la clé de votre portefeuille dans les paramètres dans les 12 heures. Sinon, l’application sera réinitialisée.»

Cette stratégie pousse l’utilisateur à accéder à sa phrase de semence, qui est capturée grâce à la fonction d’enregistrement d’écran du malware combinée avec le keylogger.

En parallèle, Crocodilus est capable de capturer des captures d’écran des applications d’authentification temporaire, contournant ainsi la protection fournie par les codes 2FA. Une fois en possession de la clé privée et du code temporaire, les attaquants ont un accès complet au portefeuille compromis.

Différences par rapport aux autres menaces mobiles

Des menaces similaires ont également été signalées dans le passé. Le FBI, par exemple, en octobre 2024, a émis un avertissement pour le malware Spyagent, attribué aux groupes d’APT nord-coréens. Cependant, Crocodilus présente un niveau de sophistication supérieur, surtout pour :

• La capacité de interagir dynamiquement avec l’interface utilisateur
• L’utilisation synergique de la superposition et de l’accessibilité
• Une infrastructure modulaire régulièrement mise à jour

Toutes ces caractéristiques en font un malware difficile à détecter par des outils antivirus mobiles traditionnels.

Comment se protéger

Pour contrer l’efficacité de Crocodilus, il est essentiel d’adopter des mesures préventives précises, à la fois en tant qu’utilisateurs et en tant que développeurs d’applications financières.

Conseils pour les utilisateurs d’Android :

• Évitez de télécharger des applications à partir de magasins ou de liens non officiels
• Refuser les demandes suspectes d’activation du service d’accessibilité
• Gardez Android et les applications installées mises à jour
• Installer des applications antivirus fiables
• Activer la vérification en deux étapes uniquement par le biais de programmes qui soutiennent la protection biométrique
• Évitez d’économiser ou d’afficher publiquement votre phrase de semences

Signaux qui pourraient indiquer une infection :

• Apparition d’écrans inconnus ou de fausses popups
• Changement soudain de comportement des applications déjà installées
• Ralentissement et comportement anormal du téléphone
• Applications qui demandent des autorisations trop invasives sans raison

Lignes directrices pour les développeurs :

• Limitez l’utilisation de superpositions non essentielles dans les applications sensibles
• Ajouter une détection d’accessibilité active sur l’application crypto pour informer l’utilisateur
• Renforcer la protection contre l’enregistrement d’écran et les captures d’écran sur les fenêtres critiques
• Surveillez les modèles anormaux via des systèmes antifraude intégrés côté serveur

Références utiles :

• Fabric de menace – Rapport de menace mobile 2024
• Avertissement du FBI sur Spyagent (octobre 2024)
• Documentation Google sur l’accessibilité et Android 13+
• Record CVE – Consulter les vulnérabilités connues liées aux applications utilisées

Résumé

Crocodilus représente une nouvelle norme dans la menace mobile pour Android, avec un potentiel destructeur élevé dans le monde de la crypto. Son mode de fonctionnement, qui mélange habilement techniques de déception psychologique avec interaction dynamique sur le dispositif infecté, rend particulièrement difficile l’interception.

Une approche proactive dans les défenses – combinée à une plus grande conscience de la part des utilisateurs – peut faire la différence entre la protection de son capital numérique et une violation irréversible.