Deux nouveaux chevaux de Troie bancaires Android, un même signal d’alarme : la permission Accessibilité

Deux rapports sur des logiciels malveillants bancaires pour Android ont paru ces trois dernières semaines. L’un décrit un nouveau cheval de Troie dont la liste de cibles comprend des applications bancaires canadiennes. L’autre concerne un autre faux utilitaire sur Google Play. Ils n’arrivent pas par le même chemin, mais tous deux dépendent d’une même permission que vous leur accordez, et c’est là que vous avez le contrôle.

RemControl : une fausse appli de télé qui prend le contrôle du téléphone

Le 23 septembre, Group-IB a publié une recherche sur RemControl, un cheval de Troie bancaire Android jusque-là inconnu, vendu comme service à d’autres criminels. Les premiers échantillons remontent à juillet 2026, et l’infrastructure derrière eux à mai. Group-IB a confirmé de faux écrans de connexion pour plus de 30 institutions financières en Italie, en France, en Espagne, en Pologne, au Portugal, au Canada et dans certains États du Golfe, l’Italie et la France étant les principales cibles jusqu’ici. Il n’a pas nommé les institutions.

Il se propage au moyen de fausses pages Google Play pour TVTap, une appli de diffusion qui n’est pas offerte dans le vrai Play Store, si bien que les gens ont l’habitude de la télécharger ailleurs. Group-IB a trouvé du code de suivi publicitaire sur ces pages et croit que l’exploitant a acheté des publicités pour y attirer du monde.

Une fois installé, selon Group-IB et BleepingComputer :

• l’installateur coupe brièvement l’accès réseau du Play Store, pour que Google Play Protect ne puisse pas vérifier ce qui s’installe ;
• l’appli demande ensuite la permission Accessibilité ;
• avec elle, le logiciel malveillant recouvre votre appli bancaire d’un faux écran pour recueillir votre NIP, vos codes bancaires ou les détails de votre carte, enregistre ce que vous tapez, diffuse votre écran à l’exploitant et peut toucher l’écran et taper à votre place ;
• il peut capter votre schéma de déverrouillage, et il quitte automatiquement les écrans de réglages qui serviraient à le supprimer ou à réinitialiser le téléphone.

Group-IB a aussi trouvé des signes que des parties de l’opération ont été construites avec un assistant d’IA, dont une réponse d’assistant laissée par erreur au bas d’une page d’hameçonnage en service.

Anatsa : un lecteur PDF sur Google Play

Le 8 octobre, Zscaler ThreatLabz a signalé un lecteur PDF sur Google Play, installé plus de 10 000 fois, qui servait d’installateur pour Anatsa, un cheval de Troie bancaire actif depuis longtemps et aussi appelé TeaBot, selon Cyber Security News. Le nom de paquet de l’appli est com.railforge.footplate.documentreader_pdfviewer. L’alerte ne précisait pas si Google avait retiré l’appli, quelles banques sont visées ni combien de téléphones ont réellement été infectés ; un nombre d’installations n’est pas un nombre d’infections.

Le scénario est connu. Des campagnes Anatsa précédentes utilisaient des lecteurs de documents d’apparence inoffensive, qui téléchargeaient ensuite le logiciel bancaire sous forme de « mise à jour ». Anatsa s’est déjà servi des permissions SMS et Accessibilité et de faux écrans de connexion adaptés aux applis bancaires du téléphone.

Le point commun

L’Accessibilité est prévue pour les outils qui aident les gens à utiliser leur téléphone, comme les lecteurs d’écran. Elle permet à une appli de lire ce qui est à l’écran et de toucher l’écran à votre place. C’est exactement ce dont un cheval de Troie bancaire a besoin, et Group-IB souligne que presque aucune autre appli n’en a besoin. Si une appli de télé, un lecteur PDF ou une « mise à jour » la demande, c’est le moment d’arrêter.

Quoi vérifier sur votre téléphone

1. Regardez qui a accès à l’Accessibilité. Ouvrez Paramètres → Accessibilité et cherchez les applis installées ou téléchargées (le nom exact des menus varie selon le fabricant). Tout ce que vous ne reconnaissez pas, ou qui n’est pas un outil d’accessibilité que vous avez choisi, ne devrait pas s’y trouver.
2. Gardez Play Protect activé. Dans le Play Store, touchez votre photo de profil, puis Play Protect, et vérifiez que l’analyse est activée.
3. Installez des applis seulement depuis le Play Store, et soyez particulièrement prudent avec celles qui ne s’y trouvent pas normalement. Si un site Web ou un texto vous dit de télécharger une appli ou une « mise à jour » directement, ne le faites pas.
4. N’entrez jamais votre NIP ou les détails de votre carte dans un écran qui apparaît sans prévenir pendant que vous utilisez votre téléphone. Fermez l’appli et ouvrez vous-même celle de votre banque.
5. Installez les mises à jour du système. Le Centre canadien pour la cybersécurité a signalé la mise à jour de sécurité d’octobre d’Android le 6 octobre.

Si vous pensez qu’il est trop tard, appelez votre banque depuis un autre téléphone, au numéro inscrit sur votre carte. Group-IB suggère de supprimer l’appli suspecte en mode sans échec ou de réinitialiser l’appareil. Changez ensuite votre mot de passe bancaire depuis un appareil de confiance, et signalez toute fraude au Centre antifraude du Canada.

Sources

• Group-IB, « RemControl: AI Built the Overlays. Victims Lose their PINs » (en anglais), 23 septembre 2026
• BleepingComputer, « New RemControl Android banking malware targets users in Europe and Canada » (en anglais), 23 septembre 2026
• Cyber Security News, « Malicious PDF Reader With 10,000+ Installs on Google Play Delivers Anatsa Banking Trojan » (en anglais), octobre 2026 (sur une alerte de Zscaler ThreatLabz du 8 octobre)
• Centre canadien pour la cybersécurité, « Bulletin de sécurité Android – Correctif cumulatif mensuel d’octobre 2026 (AV26-1003) », 6 octobre 2026
• Google, « Utiliser Google Play Protect pour contribuer à protéger vos applications et la confidentialité de vos données »
• Centre antifraude du Canada, antifraudcentre.ca