Zanubis : parcours d’un cheval de Troie bancaire discret ciblant les crypto-monnaies

Les experts de Kaspersky ont récemment étudié une campagne mise en œuvre par Zanubis, un cheval de Troie bancaire qui se distingue par son aptitude à prendre l’apparence d’applications légitimes. L’enquête fournit également des éléments sur le crypteur/chargeur AsymCrypt et le stealer Lumma, soulignant ainsi la nécessité toujours plus importante d’une sécurité numérique renforcée.

Tribune – Zanubis, un cheval de Troie bancaire opérant sur Android, a fait surface en août 2022, ciblant les usagers de services financiers et de crypto-monnaies au Pérou. En se faisant passer pour des applications Android péruviennes légitimes, il incite les utilisateurs à accorder des autorisations en termes d’accessibilité aux ressources du téléphone, les poussant ainsi à en céder le contrôle. En avril 2023, Zanubis a évolué pour se faire passer pour l’application officielle de l’organisation gouvernementale péruvienne SUNAT (Superintendencia Nacional de Aduanas y de Administración Tributaria), ce qui témoigne d’une sophistication accrue. Le code du groupe malveillant est obscurci à l’aide d’Obfuscapk, un obscurcisseur populaire pour les fichiers APK Android. Une fois l’autorisation d’accéder à l’appareil obtenue, Zanubis dupe sa victime en chargeant un véritable site web du SUNAT à l’aide de WebView, ce qui lui donne une apparence légitime.

Pour communiquer avec son serveur de contrôle, le cheval de Troie utilise des WebSocket et une bibliothèque appelée Socket.IO. Cela lui permet de s’adapter et de rester connecté même en cas de problème. Contrairement à d’autres logiciels malveillants, Zanubis n’a pas de liste arrêtée concernant les applications qu’il cible, et peut être programmé à distance pour voler des données lorsque des applications spécifiques sont en cours d’exécution. Le maliciel génère même une deuxième connexion, qui peut donner aux acteurs malveillants qui l’opèrent le contrôle total de l’appareil de la victime. Pire encore, il peut désactiver un appareil en se faisant passer pour une mise à jour Android.

Source