Le Trojan bancaire Medusa cible les utilisateurs d’Android dans 7 pays, dont la France
Utilisateurs d'Android, sachez que le Trojan bancaire Medusa est de retour ! De nouvelles campagnes d'attaques ont été repérées, notamment en France, au Canada et aux États-Unis. Faisons le point sur cette menace.
Le Trojan bancaire Medusa
En mai 2024, l'équipe Threat Intelligence de Cleafy a repéré de nouvelles campagnes malveillantes impliquant le Trojan bancaire Medusa, connu également sous le nom de TangleBot. Ce Cheval de Troie bancaire est de retour, après avoir été inactif pendant près d'un an. Il est accessible sous la forme d'un Malware-as-a-Service pour Android, donc les affiliés peuvent l'utiliser à des fins malveillantes en payant un abonnement.
Découvert en 2020, Medusa est capable de réaliser plusieurs opérations sur les appareils infectés, dont l'enregistrement de la saisie au clavier (keylogger), le contrôle de l'écran et la capacité de lire/écrire des SMS. Ce dernier point est important puisque dans le cadre de sa stratégie de distribution, le malware pourra accéder à la liste des contacts et envoyer des SMS.
Les chercheurs en sécurité expliquent que la nouvelle version de Medusa nécessite moins de permissions sur l'appareil Android infecté pour fonctionner. Désormais, le strict minimum pour les opérations de base est requis. De nouvelles fonctionnalités ont aussi été ajoutées, comme la possibilité de désinstaller des applications à distance et de prendre une copie d'écran. Cette fonction s'avère précieuse pour les pirates afin de voler des informations sensibles.
5 botnets actifs
Le rapport de Cleafy évoque un ensemble de 24 campagnes malveillantes menées par les pirates, depuis juillet 2023. En effet, ce rapport propose un historique de l'activité de Medusa sur les 12 derniers mois, ce qui sous-entend que sa phase d'inactivité est plus ancienne.
Ces campagnes malveillantes ont été associées 5 botnets actifs différents, que l'on peut distinguer par les types de leurres utilisés, la stratégie de distribution de la souche malveillante et les cibles géographiques.
Voici le nom des applications malveillantes utilisées par Medusa. Le choix du nom d'application "4K Sports" n'est surement pas un hasard puisque l'EURO 2024 de football se déroule actuellement.
"Nous avons identifié cinq botnets différents, exploités par plusieurs affiliés, qui présentent des caractéristiques distinctes en ce qui concerne le ciblage géographique et les leurres utilisés. Les résultats confirment des cibles nationales déjà connues, comme la Turquie et l'Espagne, mais aussi de nouvelles, comme la France et l'Italie.", peut-on lire dans le rapport.
Le Trojan bancaire Medusa est à suivre de près puisqu'il semble monter en puissance, tout en devenant plus furtif. Son nombre d'affiliés pourrait augmenter de façon importante, ce qui aurait également un impact sur la quantité de victimes.
