Un nouveau cheval de Troie bancaire, baptisé Astaroth, se propage rapidement via WhatsApp au Brésil, exploitant la confiance des utilisateurs pour voler des informations financières. Cette menace, qui utilise désormais les sessions WhatsApp Web pour s’auto-diffuser à grande échelle, inquiète les experts qui craignent une extension à d’autres plateformes de messagerie.
La campagne malveillante, particulièrement sophistiquée, cible actuellement le Brésil, où WhatsApp est l’application de messagerie dominante. Les victimes reçoivent un fichier ZIP d’un contact connu, souvent accompagné d’un message anodin comme « Voici le fichier demandé ». L’ouverture de ce fichier déclenche l’exécution d’un script qui installe le malware sur l’ordinateur.
Astaroth se distingue par sa structure modulaire, composée de deux éléments principaux. Un module, écrit en Delphi, surveille l’activité en ligne de l’utilisateur et vole les identifiants de connexion dès qu’un site bancaire est visité. L’autre, développé en Python, est responsable de la propagation virale. Il détourne la session WhatsApp Web, extrait la liste de contacts et envoie automatiquement le malware, en adaptant même le message d’accueil à l’heure de la journée (« Bom dia », « Boa tarde ») pour imiter un comportement humain crédible.
Ce module de diffusion, véritable innovation malveillante, transforme Astaroth en un ver informatique capable de se répliquer et de se propager de manière autonome. Il enregistre également le nombre de messages envoyés avec succès, affinant ainsi sa stratégie de propagation.
Les experts soulignent que le principe de cette attaque est facilement transposable à d’autres applications de messagerie chiffrée comme Telegram ou Signal. La nature modulaire du code Python permet aux cybercriminels de s’adapter rapidement et d’élargir leur champ d’action. « Les filtres de courrier électronique sont bien établis, mais les messages de messagerie chiffrée ne sont souvent pas soumis au même examen automatique », expliquent les spécialistes, soulignant ainsi la capacité de cette attaque à contourner les systèmes de sécurité traditionnels.
Pour se protéger, les entreprises doivent impérativement mettre à jour leurs systèmes de protection des terminaux avec les dernières signatures VBS et Python. Les particuliers, quant à eux, doivent redoubler de vigilance face aux pièces jointes inattendues, même provenant de contacts familiers. En cas de doute, il est recommandé de contacter l’expéditeur présumé par un autre moyen (appel téléphonique, par exemple) pour vérifier l’authenticité du fichier.
La campagne actuelle rappelle l’importance de la prudence et de la méfiance, même envers les contacts de confiance, car ce sont précisément ces relations qui sont exploitées par les cybercriminels. Il est crucial de rester conscient que la confiance peut être le maillon faible exploité par les attaquants.