Imaginez un acteur malveillant qui n’a pas besoin d’être rapide pour tromper vos systèmes : il tape lentement, hésite, marque des pauses, exactement comme un utilisateur humain.
C’est le pari technique d’Herodotus, une évolution récente des trojans bancaires Android qui s’appuie sur le code et les méthodes de Brokewell.
Pour les équipes de cybersécurité, cela change la donne : les défenses qui détectent uniquement des automatismes « robotiques » sont désormais contournables.
Les campagnes identifiées visent en priorité les services financiers, les fintechs et les portefeuilles de cryptomonnaies. Ces secteurs sont exposés parce que leurs usages reposent massivement sur les applications mobiles et des parcours d’authentification intensifs : usurper une session, c’est transformer une simulation « humaine » en fraude bien réelle.
Cet article explique concrètement comment fonctionne la menace, quelles sont ses conséquences financières pour les établissements financiers et, surtout, quelles mesures opérationnelles et techniques mettre en œuvre pour s’en prémunir.
1.Technique d’attaque et lien de parenté avec Brokewell
Herodotus est un trojan bancaire Android combinant fonctions de RAT (Remote Access Trojan) et de spyware. Il obtient des permissions d’Accessibilité et utilise des fenêtres overlay (superpositions) pour afficher de fausses pages de connexion et intercepter les codes 2FA (SMS). Sa nouveauté technique : il simule une frappe humaine en injectant des délais aléatoires entre chaque caractère (≈ 300–3000 ms), ce qui vise à tromper la biométrie comportementale et les moteurs anti-fraude.
Herodotus réutilise des composants et techniques de Brokewell (chiffrement de chaînes, modules dynamiques, méthodes d’interaction par coordonnées), ce qui indique un héritage technique, code réutilisé ou partage partiel de source. Brokewell est donc à la fois un prédécesseur et un « pool de composants » exploité par Herodotus.
Repères MITRE ATT&CK: T1417 Input Capture (saisies, SMS) · T1516 Input Injection (événements tactiles/texte) · T1204.001 / T1566 Malicious Link / Phishing (chaîne d’infection SMiShing).
Références bancaires
Exfiltration des données de connexion des applications bancaires pour permettre des transactions non autorisées
Intercepter les codes 2FA
Capture des codes d'authentification à deux facteurs pour contourner la sécurité
Imiter les actions de l’utilisateur
Simulation d’interactions utilisateur par des délais de frappe aléatoires
Repères MITRE ATT&CK: T1417 Input Capture (saisies, SMS) · T1516 Input Injection (événements tactiles/texte) · T1204.001 / T1566 Malicious Link / Phishing (chaîne d’infection SMiShing).
2. Impact financier pour les banques — de la technique à la trésorerie
Tout commence par des gestes apparemment anodins : un client installe une « mise à jour de sécurité », accorde l’Accessibilité, puis voit s’afficher un écran de connexion familier. La saisie « humaine » convainc l’anti-fraude ; la transaction passe. À l’échelle d’une banque, ce micro-scénario se répète et se monétise.
D’abord, les pertes directes : des virements non autorisés, des achats crypto, des sessions de comptes prises en otage. Viennent ensuite les coûts d’après-vente : litiges, remboursements, appels au support, réassurance du client. Pendant ce temps, l’IT invalide des sessions, déclenche des réinitialisations massives et passe les journaux au peigne fin : charges opérationnelles et heures-homme s’accumulent.
La réputation en pâtit, la défiance fait grimper le taux de résiliation précisément chez les clients les plus digitaux, donc les plus rentables. Enfin, la pression réglementaire se rappelle à vous : notifications, analyses de cause, plans correctifs, et parfois sanctions si l’orchestration MFA/anti-fraude/MDM n’était pas au niveau attendu.
On mesure alors que l’« innovation » d’Herodotus n’est pas qu’un défi R&D pour les équipes fraude. C’est un coût total de possession de la menace : moins visible que le montant d’un virement frauduleux, mais souvent plus lourd. Passer à l’échelle des défenses n’est pas une option cosmétique ; c’est un levier P&L.
La bonne nouvelle, c’est que la parade n’exige pas de réinventer l’application bancaire du sol au plafond. Elle demande surtout de recentrer la détection sur la posture du terminal et d’éliminer les facteurs interceptables. Autrement dit, rendre le contexte d’exécution plus difficile à truquer que le comportement d’un doigt.
3. Se protéger, une stratégie lisible, centrée terminal et parcours
La défense contre Herodotus commence par un principe simple : empêcher le malware d’entrer en lui coupant l’oxygène. La plupart des infections proviennent de fichiers d’installation Android appelés APK (Android Package Kit), c’est-à-dire des applications téléchargées hors du Play Store officiel. Ces fichiers peuvent contenir du code malveillant. Il faut donc bloquer leur installation sur les téléphones professionnels à l’aide d’un système de gestion centralisée appelé EMM (Enterprise Mobility Management), ou MDM (Mobile Device Management), qui permet à l’entreprise de contrôler à distance les appareils et les applications autorisées.
Deuxième ligne de défense : limiter ce que les applications déjà installées peuvent faire. Herodotus exploite une fonction d’Android appelée Accessibilité, censée aider les personnes en situation de handicap. Lorsqu’une application obtient ce droit, elle peut littéralement lire l’écran et effectuer des actions à la place de l’utilisateur. Si cette autorisation est accordée à une application douteuse, elle ouvre la porte au contrôle total du téléphone. Les équipes de sécurité doivent donc corréler chaque nouvelle demande d’accès à la fonction d’Accessibilité avec d’autres signaux : par exemple, une installation d’application récente ou une connexion sortante inhabituelle.
C’est ici qu’intervient un autre terme technique : MQTT, un protocole de communication très léger souvent utilisé dans l’Internet des objets. Les malwares modernes l’utilisent pour échanger discrètement des ordres avec leur serveur de commande, appelé C2 (Command and Control). Surveiller ce type de trafic permet donc de repérer des appareils compromis même si l’activité semble normale.
Enfin, l’un des gestes les plus efficaces consiste à remplacer les codes de vérification reçus par SMS par des méthodes plus sûres : la double authentification sans SMS (par exemple via les clés FIDO2 ou les passkeys) rend les attaques de ce type beaucoup plus difficiles, car il n’y a plus rien à intercepter.
En résumé, une politique mobile solide repose sur trois leviers : empêcher les installations non autorisées, surveiller les autorisations sensibles comme l’Accessibilité, et éliminer les canaux d’authentification faciles à détourner. Ces actions redonnent aux banques et aux fintechs le contrôle du terminal — et donc, de la confiance.
Herodotus ne gagne pas parce qu’il est plus « intelligent », mais parce qu’il ressemble mieux à nous. Reprenez l’avantage en déplaçant la lutte du terrain du geste vers celui du contexte : terminal attesté, permissions maîtrisées, MFA non interceptable et détection corrélée. La fraude redescend, la confiance remonte.
Source :
