Ce malware Android exploite vos paiements sans contact pour vider votre compte en banque

Les malwares Android ciblant les données bancaires se multiplient. Un logiciel malveillant exploite désormais une application de paiement reconnue pour intercepter les transactions sans contact et dérober les codes PIN. Les pirates utilisent l'intelligence artificielle pour le rendre encore plus difficile à détecter.

Les cyberattaques visant les appareils Android se font de plus en plus sophistiquées. Les pirates ne créent plus seulement de fausses applications. Ils infiltrent désormais des outils légitimes pour passer sous les radars. Pas moins de 2,3 millions de smartphones avaient récemment été infectés par un malware déployé directement depuis le Play Store. La menace ne cesse de progresser. Dans ce contexte, une nouvelle variante d'un logiciel malveillant connu refait surface avec une méthode inédite.

Le malware en question s'appelle NGate. Un logiciel similaire avait déjà été repéré en train d'exploiter le NFC pour vider des comptes selon le même principe. Des chercheurs de la société ESET ont découvert que ce programme détourne HandyPay, une application de paiement Android légitime, en y injectant du code malveillant. Les pirates n'ont pas créé un outil depuis zéro. Cette approche lui permet de solliciter très peu de permissions et d'éveiller peu de soupçons.

NGate vole les données NFC et les codes PIN des utilisateurs Android via une fausse version de HandyPay

NGate intercepte les données NFC au moment où l'utilisateur approche sa carte de son téléphone. Il capture le code PIN et les informations de la carte, puis les transmet en temps réel aux pirates. Ces derniers peuvent ensuite effectuer des retraits ou des paiements à distance. Selon Lukáš Štefanko, chercheur en cybersécurité chez ESET, les attaquants auraient utilisé l'intelligence artificielle pour améliorer le code et compliquer sa détection par les antivirus. Ce recours à l'IA marque une nouvelle étape dans la sophistication de ce type de menace.

Le Brésil est le pays le plus ciblé par cette campagne. Les victimes sont attirées via de faux sites de loterie ou des pages imitant des listings d'applications officiels. Ces pages poussent les utilisateurs à installer la version infectée de HandyPay et à la définir comme service de paiement par défaut. Une fois en place, l'application invite à saisir son PIN et à approcher sa carte. NGate entre alors en action et transmet toutes les données aux pirates, sans qu'aucune anomalie n'apparaisse à l'écran. L'utilisateur ne se rend compte de rien.