REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Group-IB décrit une campagne visant des clients de banques indiennes par messages et appels trompeurs. Plusieurs familles Android combinent collecte d’informations, interception et, pour certaines chaînes, minage clandestin ; le point d’entrée repose sur l’installation d’applications présentées comme légitimes.
Déroulement décrit par la source
- Group-IB suit depuis juillet 2025 un cluster financièrement motivé nommé CyberDakait ciblant les services financiers indiens.
- Sept familles sont diffusées par messages et appels usurpant des représentants bancaires et incitant à installer des APK malveillants.
- Des APK hébergés sur GitHub servent de programmes de dépôt pour une charge principale et un module de minage.
Comprendre les mécanismes et les enseignements
- L’urgence bancaire peut transformer un appel en autorisation d’installer un logiciel. Une procédure de vérification indépendante doit permettre de raccrocher puis de rejoindre la banque par son application ou ses coordonnées habituelles, sans utiliser les liens fournis par l’interlocuteur.
- Une plateforme de code ou un visuel de banque ne certifie pas l’origine d’un APK. Le contrôle doit porter sur le canal officiel, l’éditeur et les permissions demandées ; les mêmes précautions s’appliquent aux prétendues mises à jour de dossier client.
Les vérifications défensives utiles
- Informer les utilisateurs qu’un agent bancaire ne doit pas leur faire installer un APK reçu par messagerie pour traiter une demande inattendue. Préparer une procédure simple de signalement et vérifier les applications depuis le circuit officiel de la banque, rejoint de manière indépendante.
- Sur un appareil suspect, limiter immédiatement les usages bancaires et contacter la banque depuis un appareil sain. Préserver les messages, nom d’application et dates d’installation sans réouvrir le fichier ; examiner avec un support compétent les autorisations et applications récemment ajoutées.
- Après qualification, révoquer les sessions et modifier les accès exposés depuis un appareil de confiance. Vérifier les opérations et canaux de récupération du compte, puis remettre le téléphone dans un état sain ; documenter les démarches et suivre les transactions inhabituelles après la reprise.
Portée et limites
Les sept familles et leurs canaux d’exfiltration ne constituent pas une chaîne identique pour chaque appareil. Les banques et programmes imités ne sont pas présentés comme compromis. Les chiffres agrégés de l’enquête ne permettent pas de calculer ici les pertes financières de chaque utilisateur ni l’exécution systématique du minage.
Rapport original
False Protection, Emptied Accounts: The Seven Android Trojan Families Targeting Indian Banking Apps — www.group-ib.com.