Pix, applis bancaires, wallets crypto : six malwares Android exploitent l’écran

Six familles de malwares Android ciblent en même temps les paiements Pix, des applications bancaires et des wallets crypto, avec une méthode qui change la donne, elles volent ce qui s’affiche à l’écran. Concrètement, le code surveille l’interface, déclenche des actions via les services d’accessibilité, puis récupère des éléments sensibles comme des codes 2FA, des confirmations de transaction ou des phrases de récupération.

Le point le plus inquiétant, c’est la bascule vers la fraude « en session », le pirate n’a plus seulement besoin d’un mot de passe, il pilote le téléphone au bon moment. Des chercheurs décrivent des campagnes capables d’ouvrir une appli de wallet, de naviguer dans les menus, puis de valider des transferts, pendant que les alertes sont parfois coupées pour éviter que la victime ne réagisse. Le résultat, c’est une attaque plus discrète, plus rapide, et souvent plus difficile à contester.

Zimperium décrit PixRevolution, un trojan opérateur sur Pix au Brésil

Au Brésil, la famille PixRevolution vise les transferts PIX en temps réel, avec une logique « agent opérateur ». Plutôt que de coder une fraude différente pour chaque banque, le malware observe l’écran via l’accessibilité, repère des mots-clés liés à un paiement, puis laisse un opérateur humain, ou assisté, décider quand frapper. Le principe, c’est de regarder d’abord, d’agir ensuite, au moment où la victime est déjà dans le flux de paiement.

Les chercheurs ont relevé des éléments de mise en scène, dont des URL de logos associées à 10 institutions brésiliennes, de Nubank à Ita, Banco do Brasil, Caixa, Santander ou PicPay. Ces logos ne servent pas à détecter l’appli, ils servent à rendre un overlay crédible quand l’opérateur choisit un « code banque ». C’est un détail, mais il montre un niveau de finition, et ça aide à tromper quelqu’un qui pense interagir avec son interface habituelle.

La spécificité de Pix rend l’impact immédiat, un virement irrévocable est souvent « terminé » quand la victime comprend. Là où une fraude carte peut parfois être contestée, une transaction Pix détournée laisse peu de marge. Un analyste mobile interrogé dans un SOC résume, « sur Pix, la minute de retard coûte cher, l’attaquant n’a pas besoin d’exfiltrer des identifiants, il a juste besoin d’un créneau de 15 secondes au bon écran ».

Cyfirma détaille BankBot-YNRK, automatisation des wallets et alertes muettes

Dans la sphère crypto, des analyses attribuent à Android/BankBot-YNRK une capacité de « contrôleur » de wallets, le malware ouvre l’application, clique à la place de l’utilisateur, et capture ce qui apparaît à l’écran. L’objectif, c’est d’extraire des informations visibles, par exemple une phrase de récupération, une clé privée affichée, ou une confirmation de transaction. Cette approche contourne une partie des protections centrées sur les fichiers ou sur l’isolation des applis.

Les cibles mentionnées couvrent plusieurs actifs, dont Bitcoin, Ethereum, Litecoin ou Solana, ce qui colle avec une fraude opportuniste, on prend ce qui est accessible sur le téléphone infecté. Autre détail opérationnel, le code vérifie qu’il tourne sur un appareil physique, puis identifie le modèle pour activer des fonctions optimisées, avec des cas cités sur Google Pixel et Samsung. Ce filtrage réduit le bruit et augmente les chances de réussite.

Le volet furtif passe aussi par la gestion des signaux d’alerte. Des chercheurs décrivent une fonction qui désactive les alertes audio, appels entrants, notifications système, messages. Sur le terrain, ça compte, une victime qui n’entend plus une notification de banque ou un appel de vérification réagit plus tard. Marc, consultant en réponse à incident, le dit sans détour, « si tu ne vois rien et que tu n’entends rien, tu laisses le temps au malware de finir le transfert ».

Malwarebytes suit Albiriox, un RAT MaaS avec plus de 400 applis ciblées

Le cas Albiriox illustre la montée d’un modèle industriel, un RAT bancaire vendu en MaaS. Observé à partir de septembre 2025, il a d’abord ciblé l’Autriche, puis s’est montré conçu pour viser de nombreuses régions. Son intérêt, c’est la fraude « sur l’appareil », l’attaquant prend la main et réalise des opérations depuis le téléphone de la victime, ce qui peut contourner certains contrôles basés sur l’empreinte de l’appareil.

Les chercheurs indiquent une base interne de surveillance qui dépasse 400 applications, banques, fintech, paiements, crypto. Côté diffusion, les campagnes décrites misent sur de fausses applis et l’ingénierie sociale, dont des liens qui imitent des marques ou une page de téléchargement façon store. Dans un cas, l’appât ressemblait à une appli de retailer, avec une page qui copiait l’apparence d’un téléchargement Google Play, pour pousser à installer un dropper.

Le mécanisme pratique passe souvent par l’activation de l’option « installer des applis inconnues », puis l’installation silencieuse de la charge utile. C’est là qu’il faut nuancer, beaucoup de conseils se limitent à « ne clique pas », mais la réalité, c’est que certaines copies sont très crédibles sur mobile. La recommandation la plus robuste côté crypto reste d’éviter d’afficher une phrase de récupération sur un appareil connecté, et de privilégier un hardware wallet pour garder les clés hors ligne, même si ça ajoute une contrainte au quotidien.