La troisième génération du malware bancaire Xenomorph est commercialisée par des pirates. Celle-ci est plus efficace et cible un plus grand nombre de banques, dont des institutions françaises.
Il y a un peu plus d'un an, nous vous rapportions l'émergence de Xenomorph, un nouveau malware sévissant sur Android par l'intermédiaire d'applications du Play Store. Ce cheval de Troie bancaire a été repéré dans un nombre grandissant d'apps depuis un an, et une nouvelle variante encore plus dangereuse est en train d'apparaître.
Xenomorph passe en V3
La société Threat Fabric, qui était déjà à l'origine de la découverte de la première souche l'année dernière, fait savoir que cette dernière mouture de Xenomorph est désormais capable de subtiliser les informations d'identification des clients de 400 banques à travers le monde. La première version du malware visait « seulement » 56 banques, toutes européennes.
L'autre grand ajout apporté à cette version de Xenomorph est l'introduction d'un système de transfert automatisé rendant le vol de données bien plus efficace.
« Grâce à ses nouvelles fonctionnalités, Xenomorph est désormais en mesure d'automatiser toute la chaîne de fraude bancaire, de l'infection de l'appareil de l'utilisateur à l'exfiltration de fonds, ce qui en fait l'un des chevaux de Troie les plus avancés et les plus dangereux en circulation sur Android », estiment les experts de Threat Fabric.
De nombreuses banques françaises ciblées
Les créateurs du malware appartiennent au Hadoken Security Group qui n'exploite pas forcément lui-même Xenomorph, mais qui vend sa solution de piratage à d'autres acteurs malveillants. D'ailleurs, un site web faisant la promotion de la troisième génération de Xenomorph a été repéré en ligne. Celui-ci serait vendu sous la forme d'un MaaS (malware as a service), avec des mises à jour renforçant ses capacités.
La V3 de Xenomorph s'attaque notamment à des institutions financières des États-Unis, d'Espagne, de Turquie, de Pologne, d'Australie, du Canada, d'Italie, du Portugal, d'Allemagne, des Émirats arabes unis, d'Inde… et de France. BNP Paribas, La Banque Postale, Crédit du Nord, LCL, Crédit Agricole, Société Générale font partie de la longue liste de banques visées par le malware. 13 portefeuilles de crypto-monnaie, dont Binance, BitPay, KuCoin, Gemini et Coinbase sont aussi ciblés.
Source : Threat Fabric
