ToxicPanda 2.0 : le cheval de Troie bancaire Android qui cible désormais l'identité d'entreprise

Un cheval de Troie bancaire conçu pour vider les comptes courants en Amérique latine et en Europe s'est transformé en une menace bien plus ambitieuse. ToxicPanda 2.0, la nouvelle variante analysée par les chercheurs de Zimperium zLabs (auteur Vishnu Pratapagiri), ne se limite plus à intercepter des identifiants bancaires : il vise à prendre le contrôle total de l'appareil Android, à persister dans le temps et à utiliser le smartphone comme tremplin vers les ressources de l'entreprise. Les chiffres de la recherche montrent cette évolution : 167 nouvelles commandes à distance, une cible passée de 16 institutions financières à 349 applications incluant banque, portefeuilles électroniques et cryptomonnaies, et une présence observée dans 16 pays. La première apparition de ToxicPanda remonte à novembre 2024, lorsque le malware opérait en Amérique latine, en Italie, au Portugal et en Espagne. Aujourd'hui, la variante 2.0 change d'échelle et d'ambitions.

De l'Amérique latine aux appareils d'entreprise : ce qui a changé

En novembre 2024, ToxicPanda était un cheval de Troie bancaire Android classique : il prenait le contrôle de l'appareil infecté pour faciliter des transactions frauduleuses, en se concentrant sur un nombre restreint d'institutions financières. La nouvelle version, découverte récemment, a considérablement élargi son champ d'action.

Le bond le plus évident concerne le nombre d'applications ciblées : de 16 à 349. Il ne s'agit plus seulement d'applications bancaires, mais aussi de portefeuilles électroniques et de portefeuilles de cryptomonnaies. Cela signifie que le malware ne cherche pas seulement le compte courant de la victime, mais tout type de valeur numérique accessible depuis le téléphone, y compris les clés permettant d'accéder à des fonds décentralisés.

Mais l'expansion géographique est tout aussi importante. Si la première version touchait quatre pays, la variante 2.0 a été observée dans 16. Lesquels n'ont pas été précisés, mais cette diversification suggère une campagne distribuée à plus grande échelle, probablement facilitée par des infrastructures cloud difficiles à bloquer.

Les chercheurs de Zimperium zLabs ont identifié cette évolution en analysant le code et les serveurs de commande et contrôle. L'ajout de 167 commandes à distance est un indicateur clair : ToxicPanda n'est plus un simple outil de vol de mots de passe, mais une plateforme modulaire prête à exécuter de nouvelles fonctions selon le contexte.

Comment il vole le code PIN : l'overlay de l'écran de verrouillage

L'un des nouveaux comportements les plus dangereux est l'utilisation d'un overlay sur l'écran de verrouillage. Lorsque la victime déverrouille son téléphone, le malware superpose un faux écran de verrouillage qui enregistre le code PIN ou le schéma saisi. La donnée volée, stockée en clair ou transférée vers le serveur de l'attaquant, permet de franchir la première barrière de protection de l'appareil.

Mais le vol du code PIN n'est pas une fin en soi. ToxicPanda 2.0 dispose également des privilèges nécessaires pour réinitialiser le mot de passe de l'appareil. Combinées, ces deux capacités permettent à l'attaquant d'obtenir l'ancre d'identité la plus solide qui soit sur un smartphone : le contrôle complet du système d'exploitation, avec la possibilité de s'authentifier comme propriétaire légitime.

Cette combinaison est dévastatrice car le téléphone compromis est souvent le même appareil qui approuve les demandes push d'authentification multifacteur, conserve les passkeys et héberge les applications professionnelles. Si le malware parvient à pénétrer dans l'appareil en tant qu'utilisateur privilégié, tous les comptes associés deviennent accessibles.

La porte dérobée : Wireless Debugging et ADB

Le changement technique le plus significatif concerne l'abus des fonctionnalités de débogage d'Android. Android 11 a introduit le Wireless Debugging, une fonctionnalité destinée aux développeurs permettant de connecter le téléphone à un ordinateur sans câble USB. ToxicPanda 2.0 la transforme en porte dérobée.

Le mécanisme fonctionne ainsi. Grâce aux services d'accessibilité, le malware active les options développeur sur l'appareil. Ensuite, il active le Wireless Debugging, extrait le code temporaire d'appairage requis pour associer un client ADB (Android Debug Bridge) et termine l'association avec le service ADB du téléphone. À ce stade, l'attaquant obtient un accès au niveau shell.

À partir de là, le tour est joué : il peut exécuter des commandes directes sur l'appareil, s'octroyer des permissions supplémentaires, affaiblir les restrictions du système d'exploitation, activer des composants système et établir une persistance. En pratique, le malware transforme le téléphone en un terminal contrôlé à distance, avec les mêmes pouvoirs qu'un administrateur.

Cette attaque exploite une fonctionnalité légitime et nécessaire pour les développeurs, mais qui, sur la plupart des appareils d'entreprise, ne devrait jamais être active. Le problème est que son activation est silencieuse : elle ne génère pas de notifications visibles pour l'utilisateur moyen et n'est souvent pas surveillée par les systèmes de gestion.

La distribution passe par AWS : un cloud légitime comme vecteur

Un élément qui complique la détection est le choix de l'infrastructure de distribution. ToxicPanda 2.0 est diffusé via des buckets hébergés sur Amazon Web Services. Il ne s'agit pas de serveurs bulletproof ou de domaines suspects : c'est une infrastructure cloud légitime, avec des certificats valides et une réputation propre.

Ce choix rend plus difficile le blocage du téléchargement du malware via des listes noires ou des pare-feu basés sur la réputation. Les buckets AWS peuvent être créés, renommés et recyclés rapidement, et le trafic vers eux est indiscernable de celui vers des services cloud d'entreprise légitimes.

Pour une entreprise, cela signifie qu'une simple politique de blocage des domaines malveillants ne suffit pas. Il faut un contrôle plus approfondi, capable d'inspecter le contenu des fichiers téléchargés et de détecter des comportements anormaux sur l'appareil, indépendamment de leur provenance.

L'impact sur l'identité numérique et les ressources d'entreprise

Le préjudice économique direct pour les 349 applications ciblées n'est que la partie émergée de l'iceberg. Le contrôle persistant de l'appareil permet à l'attaquant de manipuler l'authentification, de voler des identifiants, d'altérer des applications et d'utiliser le terminal comme tremplin vers d'autres ressources de l'entreprise.

Si le téléphone compromis est enregistré dans les systèmes d'identité de l'entreprise, les conséquences peuvent être graves. L'attaquant peut intercepter les demandes push MFA, utiliser les passkeys stockées sur l'appareil, accéder à la messagerie d'entreprise, aux documents partagés et aux applications SaaS. Le téléphone devient une clé universelle.

Zimperium souligne que les couches de sécurité traditionnelles basées sur les signatures ne sont plus suffisantes. La variante 2.0 est conçue pour échapper aux détections statiques et pour agir en profondeur, en exploitant des fonctionnalités du système d'exploitation rarement vérifiées.

Bradley Smith, SVP et deputy CISO chez BeyondTrust, met en garde surtout contre la combinaison entre vol du code PIN et réinitialisation du mot de passe de l'appareil. « L'attaquant obtient l'ancre d'identité », explique-t-il, « et avec elle l'accès à tous les comptes qui en dépendent ». Le risque, en résumé, n'est pas le compte courant individuel : c'est l'ensemble de l'identité numérique de la victime et de son entreprise.

Ce que les entreprises peuvent faire : surveiller les signaux déjà existants

Les mesures d'atténuation proposées par Zimperium visent une protection complète et multi-niveaux, capable d'interrompre le malware à plusieurs étapes de la chaîne d'attaque. Il n'existe pas de correctif ou de configuration unique qui résolve tout : il faut une combinaison de contrôles techniques et organisationnels.

Bradley Smith de BeyondTrust indique trois actions concrètes. La première est de bloquer le sideloading sur les appareils enregistrés dans les systèmes d'identité d'entreprise : ToxicPanda 2.0 ne passe pas par les magasins d'applications officiels, donc empêcher l'installation d'applications depuis des sources inconnues réduit considérablement le risque initial.

La deuxième est de traiter les autorisations des services d'accessibilité comme des événements à accès privilégié. Sur Android, les services d'accessibilité sont un outil puissant qui permet à une application de lire et de manipuler l'écran et les interactions. ToxicPanda les exploite pour activer le débogage et voler des identifiants. Chaque octroi de ces permissions devrait être journalisé, vérifié et révoqué s'il n'est pas justifié.

La troisième est de générer des alertes lorsque les options développeur ou le Wireless Debugging sont activés sur les appareils mobiles gérés. Ces signaux sont déjà visibles depuis la plupart des plateformes MDM (Mobile Device Management), mais sont rarement surveillés. Une alerte rapide peut arrêter l'attaque avant que le malware ne termine l'association ADB et n'obtienne l'accès shell.

En résumé, ToxicPanda 2.0 n'est pas une menace qui se résout avec une mise à jour. C'est une attaque qui exploite des fonctionnalités système légitimes et des infrastructures cloud fiables. Les entreprises doivent activer des contrôles qu'elles possèdent déjà mais qu'elles ignorent souvent, et traiter les appareils mobiles comme des terminaux critiques au même titre que les serveurs.