Le malware TrickMo a franchi un cap. Le 11 mai 2026, la société ThreatFabric a publié l’analyse d’une nouvelle variante de ce cheval de Troie bancaire pour Android. Elle l’a suivie en janvier et février 2026 dans des campagnes actives visant les clients de banques et de portefeuilles électroniques en France, en Italie et en Autriche.
D’ailleurs, l’une des étiquettes de campagne relevées sur les appareils infectés désigne explicitement la France. Elle correspond à une fausse application TikTok diffusée via Facebook.
Ce que le malware TrickMo fait d’un téléphone infecté
TrickMo prend le contrôle complet du terminal. Tout commence par le service d’accessibilité d’Android, que l’application obtient en manipulant l’utilisateur. Une fois ce droit accordé, l’opérateur dispose d’une vue interactive du téléphone en temps réel.
Les capacités documentées par ThreatFabric couvrent l’affichage de fausses fenêtres qui imitent l’application bancaire légitime. Le malware enregistre aussi les frappes, avec le nom de l’application au premier plan. De plus, il diffuse l’écran en direct, contrôle les gestes à distance et intercepte les SMS et les notifications.
Il supprime même en silence les messages qui contiennent un code à usage unique. Le code reçu par SMS disparaît donc avant que la victime le voie, et l’opération frauduleuse passe inaperçue. Pour les organismes qui protègent encore des accès sensibles par un code SMS, le signal est clair.
Un canal de commande décentralisé, difficile à couper
Le trafic de pilotage a quitté l’Internet classique. Il circule désormais sur le réseau décentralisé The Open Network, avec des adresses en .adnl résolues par un proxy intégré à l’application. Par conséquent, la saisie ou le retrait d’un nom de domaine ne coupe plus grand-chose. De plus, le flux se confond avec celui des autres applications qui utilisent ce réseau.
Le téléphone devient une porte d’entrée vers le réseau de l’entreprise
La seconde évolution pèse plus lourd pour les organismes. La variante ajoute un sous-système réseau complet : sondes HTTP, résolution de noms, ping, test de ports, traçage de route. Elle ouvre aussi des tunnels SSH entrants et sortants, et installe sur le téléphone un proxy SOCKS5 authentifié.
Le tunnel inverse donne à l’opérateur un accès au réseau local auquel l’appareil est connecté, domestique ou professionnel. Quant au proxy, il fait sortir le trafic depuis l’adresse IP de la victime. Les contrôles antifraude fondés sur la réputation de l’adresse IP ne voient alors qu’un client légitime.
Un téléphone personnel qui consulte la messagerie professionnelle devient ainsi un point d’entrée vers le réseau interne. Les attaques visant les téléphones ne relèvent donc plus de la seule sécurité personnelle, comme le montrait déjà la campagne d’APT29 contre Android et iPhone.
Les obligations RGPD et NIS2 en cas de compromission
L’article 32 du RGPD impose des mesures adaptées au risque. La cartographie des accès et la politique d’usage des terminaux personnels quittent ainsi la liste des sujets secondaires.
En cas de compromission avérée, l’article 33 impose la notification à la CNIL sous 72 heures. L’article 34 prévoit ensuite l’information des personnes concernées. Dès lors que des données bancaires et des identifiants sont en jeu, un risque élevé reste difficile à écarter. Pour les entités soumises à NIS2, la sécurité des terminaux mobiles et le signalement rapide des incidents figurent aussi parmi les mesures attendues.
Les contrôles à vérifier sur votre flotte mobile
Ces mesures se vérifient une à une, terminal par terminal :
- Interdisez l’installation d’applications hors magasin officiel sur les terminaux qui accèdent aux ressources de l’organisme, et vérifiez ce réglage dans votre outil de gestion de flotte mobile.
- Remplacez l’authentification par SMS par une application dédiée ou une clé physique pour les accès sensibles.
- Surveillez les demandes de service d’accessibilité : une application qui le réclame sans raison fonctionnelle doit déclencher une alerte documentée dans vos procédures.
- Segmentez le réseau interne pour que les terminaux mobiles n’atteignent pas directement les serveurs qui hébergent des données personnelles.
- Ajoutez le scénario du terminal personnel compromis à votre registre des violations et à votre exercice annuel de gestion d’incident.
Sur l’authentification, notre article sur le vol de comptes Microsoft 365 malgré le MFA montre jusqu’où les attaquants contournent la double authentification.
Sources
L’ensemble des éléments techniques provient de l’analyse publiée par ThreatFabric le 11 mai 2026 : New TrickMo Variant: Device Take Over malware targeting Banking, Fintech, Wallet & Auth apps.
