La cybercriminalité a ses SaaS, et ils ont même un service client sur Telegram. Les chercheurs de Zimperium ont mis la main sur RedWing, un kit malveillant Android qui se loue clé en main pour siphonner les identifiants bancaires de ses victimes. Pas besoin de savoir coder : il suffit de payer.
Points clés
- RedWing est un malware Android loué en mode Malware-as-a-Service via Telegram
- Il vole les identifiants bancaires et intercepte les codes à usage unique (OTP)
- La redirection des appels lui permet de contourner l’authentification à deux facteurs par téléphone
- Découverte attribuée aux chercheurs en sécurité de Zimperium
Un malware en location, ni vu ni connu
RedWing fonctionne selon le modèle du Malware-as-a-Service (MaaS). Autrement dit, un développeur conçoit l’outil et le loue à des affiliés via des canaux Telegram, qui n’ont plus qu’à le déployer contre les cibles de leur choix. Le crime organisé s’est offert le confort de l’abonnement mensuel, gestion de la relation client comprise.
Une fois installé sur un smartphone Android, le kit ne fait pas dans la demi-mesure. Il capture les identifiants de connexion aux applications bancaires, intercepte les codes à usage unique (les fameux OTP envoyés par SMS) et va jusqu’à rediriger les appels entrants.
La double authentification par téléphone prise à revers
C’est précisément ce dernier point qui rend RedWing redoutable. En détournant les appels, le kit neutralise l’authentification à deux facteurs qui repose sur la voix ou le téléphone. La barrière censée protéger les comptes bancaires se retrouve contournée par l’appareil même qu’elle est censée sécuriser.
Le combo est classique mais efficace : vol des identifiants, interception des codes de validation, puis redirection des vérifications téléphoniques. De quoi vider un compte sans jamais éveiller les soupçons de la victime, qui ne voit passer ni l’appel de sa banque ni le SMS d’alerte.
Android, terrain de jeu récurrent
Le choix d’Android n’a rien d’un hasard. L’ouverture de la plateforme, qui autorise l’installation d’applications hors du magasin officiel, reste la porte d’entrée favorite de ce type de menace. La bonne vieille recommandation tient toujours : on n’installe pas n’importe quel APK trouvé au fil d’un lien douteux, aussi alléchant soit-il.
RedWing rappelle surtout que la fraude bancaire s’est industrialisée. Face à un outil loué et maintenu comme un logiciel commercial, la vigilance de l’utilisateur reste la première ligne de défense. Et pour une fois, elle ne coûte rien.
