GoldPickaxe change de dimension et menace directement l'identité numérique des utilisateurs Android
Le paysage des menaces mobiles continue de gagner en sophistication. Les chercheurs de zLabs, le laboratoire de recherche de Zimperium spécialisé dans la cybersécurité mobile, alertent sur une nouvelle version de GoldPickaxe, un cheval de Troie bancaire Android dont les capacités dépassent largement le simple vol d'identifiants. Cette nouvelle variante est capable de récupérer des données biométriques, de prendre le contrôle d'un smartphone à distance et de contourner les mécanismes modernes de vérification d'identité utilisés par les établissements financiers.
Détectée dans plusieurs environnements clients grâce à la plateforme Mobile Threat Defense (MTD) de Zimperium, cette campagne illustre une évolution préoccupante des cyberattaques visant les smartphones, devenus aujourd'hui la principale porte d'accès aux services bancaires, aux portefeuilles numériques et à de nombreuses données personnelles.
Une campagne attribuée au groupe GoldFactory
Les chercheurs attribuent cette opération au groupe cybercriminel GoldFactory, déjà connu pour le développement de malwares sophistiqués ciblant les appareils mobiles.
Pour diffuser GoldPickaxe, les attaquants utilisent des sites de phishing imitant l'apparence de KuaiBo, une plateforme de streaming chinoise. Les victimes sont incitées à télécharger une application frauduleuse qui installe silencieusement le malware sur leur terminal Android.
La campagne vise principalement les utilisateurs de services bancaires mobiles, d'applications financières et de portefeuilles électroniques en Asie du Sud-Est. Toutefois, son périmètre géographique semble déjà s'étendre. Les chercheurs de zLabs indiquent avoir identifié 19 échantillons actifs dans cinq pays : l'Indonésie, la Malaisie, Singapour, l'Arabie saoudite et les États-Unis.
Cette dispersion géographique montre que les opérateurs de GoldPickaxe cherchent désormais à élargir leur champ d'action au-delà de leur zone d'origine.
Bien plus qu'un simple cheval de Troie bancaire
Contrairement aux malwares bancaires traditionnels, généralement conçus pour dérober des identifiants de connexion ou intercepter les codes de validation, GoldPickaxe adopte une approche beaucoup plus complète.
Une fois installé, le logiciel malveillant peut récupérer les codes PIN, les mots de passe ainsi que les schémas de déverrouillage de l'appareil. Il est également capable d'intercepter les SMS afin de contourner les systèmes d'authentification à double facteur encore largement utilisés par les banques.
Mais ses capacités vont bien plus loin. Le malware peut accéder au carnet de contacts, enregistrer les frappes au clavier, capturer en permanence le contenu affiché à l'écran et enregistrer des vidéos du visage de la victime afin de récupérer des données biométriques.
Ces informations peuvent ensuite être exploitées pour usurper l'identité numérique de l'utilisateur, notamment lors des procédures de vérification d'identité (e-KYC) mises en œuvre par de nombreuses plateformes financières.
La biométrie devient une nouvelle cible des cybercriminels
Selon Nicolas Chiaraviglio, Chief Scientist chez Zimperium, cette évolution marque un changement profond dans la stratégie des groupes cybercriminels.
L'objectif ne consiste plus uniquement à accéder à un compte bancaire ou à détourner des fonds. Les attaquants cherchent désormais à collecter tous les éléments permettant de reconstruire l'identité numérique complète d'une victime.
Les données biométriques représentent une cible particulièrement sensible. Contrairement à un mot de passe, un visage ou une empreinte biométrique ne peuvent pas être modifiés lorsqu'ils sont compromis. Leur vol peut donc avoir des conséquences durables, notamment pour contourner les systèmes de reconnaissance faciale utilisés par certains services financiers.
Une prise de contrôle complète du smartphone
L'une des caractéristiques les plus inquiétantes de cette nouvelle variante réside dans sa capacité à contrôler totalement le terminal infecté.
Grâce à l'exploitation des services d'accessibilité d'Android, GoldPickaxe peut simuler les gestes de l'utilisateur, lancer des applications, valider des opérations ou naviguer dans l'interface sans intervention de la victime.
Les cybercriminels disposent ainsi d'un contrôle à distance particulièrement discret, leur permettant d'effectuer des opérations frauduleuses directement depuis le smartphone compromis, tout en reproduisant le comportement habituel de son propriétaire.
Cette technique complique considérablement la détection des activités malveillantes par les systèmes de sécurité des établissements financiers.
Des techniques d'évasion toujours plus sophistiquées
Les chercheurs de zLabs soulignent également que GoldPickaxe intègre plusieurs mécanismes destinés à échapper aux solutions de sécurité classiques.
Le malware combine notamment une forte obfuscation du code afin de masquer son fonctionnement, le chargement dynamique de modules qui lui permet d'ajouter de nouvelles fonctionnalités après son installation, ainsi que le détournement des services d'accessibilité d'Android.
À ces techniques s'ajoute une importante composante d'ingénierie sociale. Les victimes sont amenées à installer elles-mêmes l'application malveillante en pensant télécharger un service légitime, ce qui réduit l'efficacité des protections reposant uniquement sur la détection de signatures connues.