Menaces sur vos cryptos : les chevaux de Troie

Quand on parle de malwares dans l’univers des cryptomonnaies, on pense souvent à des mineurs furtifs ou à des extorqueurs qui exigent des coins pour débloquer votre ordinateur. Pourtant, il existe d’autres applications capables de dérober vos actifs ou votre phrase de récupération.

Un malware peut voler des actifs, intercepter des phrases mnémoniques, ou même installer un firmware modifié sur un hardware wallet (en théorie). Voyons comment ils fonctionnent et quelles méthodes ils utilisent pour s’introduire dans vos appareils.

Comment ils fonctionnent

Les attaquants utilisent des chevaux de Troie pour installer des malwares sans être détectés. À l’image du cheval de Troie, leur stratégie consiste à se faire passer pour un programme utile et sûr : application, jeu ou document. Parfois, ils ne contiennent rien de malveillant au moment de l’infiltration. Ce n’est qu’ensuite, soit automatiquement, soit sur commande de l’attaquant, qu’ils téléchargent la « payload », qui exécute les actions prévues par les hackers. Ces chevaux de Troie sont appelés « downloaders ». Il existe aussi des « droppers », qui n’ont rien à télécharger mais sont déjà préchargés avec des applications malveillantes. Il existe de nombreux types de chevaux de Troie, mais connaître ces deux variantes suffit ici. 

Comment ils se propagent

Les attaquants recourent souvent à l’ingénierie sociale et au phishing. Par exemple, ils créent de faux sites pour des applications connues, hébergeant des programmes infectés. Autre méthode : envoyer des e-mails prétendument envoyés par l’éditeur du logiciel, incitant à installer une mise à jour ou une version « corrigée ». Dans ce cas, l’application fonctionne comme prévu, mais un malware s’installe aussi sur l’ordinateur ou le smartphone.

Une autre technique consiste à passer par les boutiques d’applications officielles. Les attaquants créent un utilitaire simple pour Android, le soumettent à la validation de la boutique et attendent que des utilisateurs l’installent. L’approbation sur les stores étant difficile, le fichier APK infecté circule souvent via des plateformes alternatives.

Certaines variantes se propagent d’elles-mêmes. Par exemple, le cheval de Troie Emotet accède aux données Outlook sur les ordinateurs infectés, puis envoie un fichier ou un lien infecté aux contacts du carnet d’adresses de la victime.

Et les cryptos ?

Il existe plusieurs scénarios où des chevaux de Troie servent à voler vos actifs crypto. Il y a quelques années, des employés de Kaspersky Lab ont découvert le cheval de Troie CryptoShuffler. Son principe était simple : une fois installé, il surveillait le presse-papiers et, dès qu’il détectait une adresse Bitcoin, Ethereum, Zcash, Monero, Dash ou Dogecoin, la remplaçait par celle de l’attaquant. Avant d’être identifié, CryptoShuffler avait permis de détourner 140 000 $ (plus d’un demi-million de dollars au cours actuel).

Un exemple plus récent : des chercheurs d’ESET ont repéré de nombreux sites proposant de fausses versions infectées des applications Telegram et WhatsApp. Certains chevaux de Troie agissaient comme CryptoShuffler, d’autres cherchaient à identifier des phrases de récupération. Leur méthode : scanner les images sur ordinateurs et smartphones via un module OCR pour repérer du texte ressemblant à une phrase mnémonique. Les victimes visées : des utilisateurs ayant pris des captures d’écran ou des photos de leur phrase lors de la création de leur wallet.

Les chevaux de Troie ne volent pas toujours les données « directement » : ils peuvent aussi servir dans des attaques en plusieurs étapes. Par exemple, un cheval de Troie infiltré sur un smartphone peut détecter la connexion au réseau domestique et tenter de deviner le mot de passe du routeur. S’il y parvient, il modifie l’adresse du serveur DNS pour celle de l’attaquant. La victime peut alors être redirigée vers des sites de phishing crypto au lieu des sites légitimes. 

Piratage des hardware wallets

Pirater un hardware wallet est théoriquement possible, mais aucun cas réel n’a été documenté. Saleem Rashid, qui a réussi à pirater le Ledger Nano S, a décrit un scénario d’attaque possible : un cheval de Troie s’installe sur l’ordinateur et attend que l’utilisateur connecte son wallet. Il affiche alors un avertissement invitant à mettre à jour le firmware de l’appareil. Si l’utilisateur accepte, le malware installe un logiciel modifié sur le wallet. 

Il est important de préciser qu’il s’agit d’un scénario purement hypothétique, présenté à une époque où le Nano S était vulnérable à ce type d’attaque. Depuis, de nombreuses mises à jour ont corrigé ces failles. Ce risque ne doit toutefois pas être totalement écarté : de nouvelles vulnérabilités peuvent être découvertes et exploitées avant d’être corrigées par le fabricant.

Comment se protéger ?

Gardez à l’esprit qu’il existe de nombreux malwares conçus pour voler des actifs crypto. Un spyware, par exemple, peut être programmé pour prendre des captures d’écran dès que vous visitez un site de service crypto. Si vous créez un nouveau wallet, les attaquants peuvent alors récupérer une capture contenant la phrase de récupération.

Autre point préoccupant : l’accès à ce « business » devient de plus en plus facile. Certains malwares s’achètent clés en main et peuvent être adaptés aux besoins de l’acheteur.

Voici quelques conseils pour rester protégé. Vous les connaissez sûrement déjà, mais ce sont encore les meilleures pratiques à ce jour :

• Installez un antivirus fiable (Windows Security ne suffit pas). Même une version gratuite est utile.
• N’installez pas d’applications téléchargées en dehors des boutiques officielles sur votre smartphone. Si le site d’une application connue propose un fichier APK, soyez vigilant.
• N’installez jamais de versions piratées de logiciels payants. Rien ne garantit que le « repacker » n’a pas ajouté de cheval de Troie.
• N’utilisez pas de smartphone « rooté » pour gérer vos cryptos. Les droits superutilisateur facilitent l’installation de malwares.
• Installez toujours les mises à jour (au moins de sécurité), même si elles semblent pénibles. Elles corrigent les failles exploitées par les chevaux de Troie.
• Enfin, privilégiez un cold wallet fiable comme Tangem Wallet. Notre wallet est certifié EAL6+ et ne peut pas être piraté. Les propriétaires n’ont pas à craindre le vol de leur phrase de récupération : Tangem n’en utilise pas.