Un nouveau cheval de Troie bancaire, baptisé « Sturnus », représente une menace inédite pour les utilisateurs d’Android. Capable de subtiliser des informations bancaires et de déchiffrer les messages de plateformes de messagerie chiffrées comme WhatsApp, Telegram et Signal, ce malware alerte les experts en cybersécurité.
L’alerte a été donnée le 20 novembre 2025 par des chercheurs spécialisés. Sturnus contourne les dispositifs de sécurité des smartphones modernes, prenant quasiment le contrôle total des appareils infectés et rendant le chiffage de bout en bout inefficace. Parallèlement, un ver auto-réplicatif se propage via WhatsApp, constituant une double attaque contre la sécurité des services bancaires mobiles.
Selon l’analyse de la société de sécurité ThreatFabric, Sturnus est déjà pleinement opérationnel et, dans certains domaines, plus sophistiqué que les malwares déjà connus. Bien qu’il semble encore en phase de test ou de développement, sa capacité à intercepter les communications après décryptage sur l’appareil marque une avancée significative dans le paysage des menaces.
Le malware utilise principalement des attaques par superposition pour voler les identifiants. Il superpose de faux écrans de connexion à des applications bancaires légitimes afin de capturer les noms d’utilisateur et les mots de passe.
De nombreux utilisateurs d’Android négligent les paramètres de sécurité qui pourraient les protéger contre ce type d’attaque. Il est crucial de renforcer la sécurité de son appareil, notamment en vérifiant les autorisations accordées aux applications, en sécurisant WhatsApp, en détectant et en bloquant les attaques par superposition, et en effectuant régulièrement les mises à jour.
Mais Sturnus ne se limite pas à cela. Il enregistre toutes les frappes au clavier, transmet le contenu de l’écran aux attaquants en temps réel et exécute des commandes à distance. Pendant que les criminels effectuent des transactions, les victimes ne voient qu’un écran noir, ignorant ainsi la manipulation.
Pour persister sur l’appareil, Sturnus obtient les droits d’administrateur et bloque toute tentative de révocation de ces privilèges. Le malware est déjà configuré pour cibler les banques d’Europe du Sud et d’Europe centrale, laissant craindre une campagne à grande échelle.
Par ailleurs, un autre ver, basé sur Python et actif au Brésil, diffuse le cheval de Troie bancaire « Eternidade Stealer » via WhatsApp. L’attaque repose sur l’ingénierie sociale : les utilisateurs sont incités à exécuter un script malveillant qui détourne leur session Web WhatsApp et envoie automatiquement des pièces jointes infectées à leurs contacts, accompagnées de messages personnalisés pour ne pas éveiller les soupçons. Eternidade Stealer cible les informations d’identification des portails bancaires brésiliens, des services de paiement et des plateformes de cryptomonnaies.
Le secteur financier anticipe également une augmentation des attaques d’ingénierie sociale basées sur l’intelligence artificielle. En 2025, les attaquants utiliseront de plus en plus l’IA pour automatiser et personnaliser leurs campagnes de phishing, en exploitant les données publiques disponibles sur les réseaux sociaux et les profils professionnels pour créer des e-mails particulièrement convaincants.
L’essor du « vishing » (hameçonnage vocal) et du « smishing » (hameçonnage par SMS) grâce aux deepfakes est également préoccupant. L’IA peut désormais cloner une voix à partir de quelques secondes d’audio, permettant aux attaquants de se faire passer pour des proches, des supérieurs hiérarchiques ou des employés de banque, et d’inciter les victimes à autoriser des paiements ou à divulguer des informations sensibles.
L’efficacité croissante de ces techniques d’évasion démontre que l’authentification à deux facteurs (2FA), bien qu’essentielle, n’est plus une garantie absolue. Les banques et les prestataires de services de sécurité doivent continuellement innover pour contrer ces menaces.
La « fatigue MFA », une technique consistant à bombarder les utilisateurs de notifications jusqu’à ce qu’ils en approuvent une par inadvertance, et le détournement de session, qui consiste à voler le cookie de session après une connexion réussie, sont des exemples de ces nouvelles méthodes d’attaque.
Face à cette complexité croissante, la vigilance reste la meilleure défense. L’Autorité monétaire de Hong Kong a rappelé le 24 novembre 2025 que les banques ne demandent jamais par SMS ou par e-mail des informations sensibles ou des transactions via des liens intégrés.
Les experts recommandent de rester critique face aux messages non sollicités, de ne jamais cliquer sur les liens suspects, de renforcer la sécurité de ses appareils, d’utiliser une authentification robuste et de surveiller régulièrement ses comptes.
Pour aller plus loin
