Les trojans bancaires représentent l'une des menaces les plus structurées et les plus durables du paysage cybercriminel. Loin d'être de simples programmes malveillants opportunistes, ils suivent un cycle de vie précis, opéré par des groupes organisés qui ont progressivement industrialisé leur activité jusqu'à proposer leurs outils en service. Comprendre ce cycle, c'est déjà se donner les moyens de le contrer.
Le vecteur d'infection : tout commence par un clic
Dans la grande majorité des cas, l'infection débute par un courriel de phishing. Le message embarque soit une pièce jointe piégée (document Office avec macro malveillante, archive compressée), soit un lien vers une page de téléchargement contrôlée par l'attaquant. Ce n'est pas un hasard : le mail reste le canal le plus rentable, parce qu'il contourne les contrôles réseau et mise sur la réaction humaine.
Certaines campagnes utilisent également des publicités malveillantes (malvertising) ou des sites web légitimes compromis comme point d'entrée. Dans un scénario type, un employé d'une PME reçoit une fausse facture au format Word. En activant les macros pour « visualiser le document », il déclenche le téléchargement d'un loader — un composant léger dont le seul rôle est de récupérer le vrai payload sur un serveur distant.
Persistance : s'installer pour durer
Une fois la machine compromise, le trojan cherche à garantir sa survie. La persistance s'obtient généralement par des mécanismes natifs de Windows : création de clés dans le registre (notamment sous HKCU\Software\Microsoft\Windows\CurrentVersion\Run), ajout de tâches planifiées, ou injection dans des processus légitimes pour se fondre dans le trafic système ordinaire.
Les variantes les plus sophistiquées s'assurent également d'être relancées après un redémarrage, parfois via plusieurs mécanismes redondants. L'objectif est de rester invisible le plus longtemps possible — des semaines, parfois des mois — avant d'activer la phase d'exfiltration.
Communication C2 : le cordon ombilical invisible
Le canal de commande et contrôle (C2) est le système nerveux du trojan. C'est par lui que l'attaquant envoie des instructions, reçoit des données volées et met à jour le malware à distance. Les premières générations utilisaient des adresses IP fixes ou des domaines enregistrés en clair — faciles à bloquer une fois identifiés.
Les familles modernes ont largement adopté des techniques plus résilientes : algorithmes de génération de domaines (DGA) qui produisent automatiquement des milliers de noms de domaines potentiels, communication via des services légitimes (cloud storage, réseaux sociaux, messageries), ou protocoles chiffrés pour masquer le trafic dans des flux HTTPS ordinaires. Pour une équipe SOC, détecter ce trafic exige des capacités d'analyse comportementale et une bonne connaissance des communications réseau de référence (baseline).
Exfiltration : la phase de monétisation
L'exfiltration dans le contexte des trojans bancaires ne ressemble pas à un vol de fichiers massif. Elle est ciblée et souvent en temps réel. Les mécanismes les plus courants incluent le form grabbing (capture des données saisies dans un formulaire avant chiffrement par le navigateur), l'injection web (modification à la volée des pages bancaires affichées à l'utilisateur pour ajouter des champs supplémentaires), et l'enregistrement de frappes clavier.
Les informations collectées — identifiants bancaires, numéros de carte, codes OTP — sont ensuite transmises au C2 en petits lots pour limiter la détection. Dans certains cas, le trojan reste en veille jusqu'à détecter la visite d'un site bancaire ciblé, optimisant ainsi sa discrétion.
Zeus, Emotet, TrickBot, Qakbot : généalogie d'une menace
Zeus (apparu vers 2007) a posé les bases du genre. Son code source, leaké en 2011, a servi de fondation à des dizaines de dérivés. Il combinait déjà form grabbing et communication C2 chiffrée, et ciblait principalement les institutions financières occidentales.
Emotet a démarré comme trojan bancaire classique avant de pivoter vers un rôle de loader universel. Sa particularité : une capacité de propagation latérale agressive sur les réseaux locaux, transformant chaque machine infectée en vecteur potentiel pour ses voisines. Il est devenu l'une des infrastructures de distribution de malwares les plus redoutées, louée à d'autres groupes cybercriminels.
TrickBot, apparu en 2016, a hérité de l'architecture modulaire. Chaque fonctionnalité (vol de credentials, mouvement latéral, reconnaissance réseau) est embarquée dans un module distinct téléchargeable à la demande. Ce design facilite les mises à jour et complique l'analyse forensique.
Qakbot (aussi appelé QBot) a suivi une trajectoire similaire, avec une longévité remarquable malgré plusieurs démantèlements partiels. Sa résistance s'explique en partie par une infrastructure C2 distribuée et une capacité à se renouveler rapidement après chaque perturbation.
Le Malware-as-a-Service : la criminalité organisée passe au SaaS
L'évolution la plus structurante de ces dix dernières années est l'émergence du modèle Malware-as-a-Service (MaaS). Les opérateurs d'une infrastructure malveillante la louent à d'autres groupes criminels, exactement comme un éditeur SaaS propose son logiciel par abonnement. Les clients — les « affiliés » — bénéficient d'une interface de gestion, d'un support technique parfois réactif, et de mises à jour régulières.
Ce modèle a deux conséquences majeures pour les défenseurs. D'abord, il abaisse drastiquement le niveau technique requis pour mener une campagne : l'affilié n'a pas besoin de comprendre le code, seulement de déployer. Ensuite, il rend l'attribution plus complexe, car un même outil peut être utilisé par des dizaines de groupes aux motivations et aux cibles différentes.
Pour les entreprises africaines et marocaines connectées aux systèmes bancaires internationaux, ce modèle signifie concrètement que des campagnes autrefois réservées aux marchés occidentaux peuvent désormais être redéployées localement à faible coût par n'importe quel acteur disposant d'un budget modeste.
Questions fréquentes
Quelle est la différence entre un trojan bancaire et un ransomware ?
Un trojan bancaire cherche à voler des identifiants et à initier des transactions frauduleuses de façon discrète, en restant invisible le plus longtemps possible. Un ransomware, lui, se manifeste de façon explicite pour exiger une rançon. Les deux types peuvent coexister : Emotet et TrickBot ont servi de vecteurs pour déployer des ransomwares dans une seconde phase d'attaque.
Comment un SOC peut-il détecter un trojan bancaire actif sur le réseau ?
Les signaux les plus utiles sont les connexions réseau anormales vers des domaines récemment enregistrés ou peu connus, les processus système qui initient des connexions sortantes inhabituelles, et les comportements d'injection dans d'autres processus. L'analyse comportementale et la corrélation des logs (EDR, proxy, DNS) sont plus efficaces que les signatures antivirus seules contre les variantes récentes.
Le modèle MaaS concerne-t-il aussi les entreprises hors secteur bancaire ?
Oui. Bien que leur nom évoque la finance, les trojans bancaires modernes collectent tout type de credential utile : accès VPN, portails RH, messagerie d'entreprise. Un affilié MaaS peut choisir de cibler n'importe quel secteur selon la valeur perçue des accès disponibles sur le marché noir.
Qakbot a-t-il été définitivement neutralisé ?
L'infrastructure de Qakbot a fait l'objet d'une opération de démantèlement coordonnée en 2023. Pour autant, l'histoire du secteur montre que les groupes derrière ces outils se reconstituent ou migrent vers de nouvelles infrastructures. Le démantèlement d'une infrastructure ne signifie pas la disparition des acteurs ni du code source.