MR ROBOT : anatomie d'une opération MaaS Android ciblant les clients bancaires indiens

🔍 Contexte

Publié le 28 octobre 2026 par CloudSEK (Bhavik Malhotra), cet article présente une analyse technique approfondie de MR ROBOT, une opération Malware-as-a-Service (MaaS) Android inédite ciblant les clients de banques indiennes. L’investigation a débuté à partir d’un APK malveillant se faisant passer pour une mise à jour Aadhaar d’une banque publique.

🏗️ Modèle opérationnel

MR ROBOT fonctionne comme une plateforme crimeware en libre-service :

• Un opérateur maître loue l’accès à des affiliés via un modèle d’abonnement (App ID par affilié avec expiration)
• Un bot Telegram « APK Shield » permet de générer des APK personnalisés et des liens de distribution style Play Store
• Un panneau de contrôle web (v7.0) hébergé sur Cloudflare Pages offre gestion des victimes, interception SMS, transfert d’appels, et construction d’APK à la demande
• Une hiérarchie affilié/sous-admin avec limites de connexion et permissions différenciées

🦠 Capacités techniques

Le dropper (famille com.apkshield.installer.*) déchiffre un payload AES-128-CBC+GZIP pour installer un trojan bancaire capable de :

• Intercepter les SMS/OTP via un broadcast receiver haute priorité
• Activer le renvoi d’appels *21*<numéro># pour contourner la 2FA téléphonique
• Afficher des overlays HTML pour collecter : Aadhaar, PAN, numéro de carte, CVV, code PIN ATM, PIN UPI, identifiants de banque en ligne
• Exfiltrer vers Firebase Realtime Database et Telegram
• Mécanismes d’évasion : vérifications d’émulateur, dormance 48h/3 lancements, absence d’icône, VPN local, certificats de signature aléatoires par build

📊 Échelle de l’opération

• Affilié A : ~154 appareils infectés, ~3 270 SMS interceptés
• Affilié B (base Firebase exposée) : 153 appareils, 5 407 SMS interceptés (~400/jour au pic), renvoi d’appels actif sur 58% des victimes, fenêtre d’enrollment du 9 mai au 21 juillet 2026
• Catalogue de ~36 applications leurres : banques publiques/privées, fournisseurs d’énergie/eau/gaz, amendes RTO, services gouvernementaux

🔗 Liens avec des clusters connus

MR ROBOT partage des TTPs avec FatBoyPanel (Zimperium, fév. 2025) et RedWing (Zimperium, juil. 2026) : builder APK par client, renvoi d’appels *21#, bot Telegram, backends Firebase exposés. Le kit spécifique, le panneau et le schéma de licence sont inédits dans la threat intelligence publique.

📄 Nature de l’article

Il s’agit d’une publication de recherche CTI à visée technique, documentant une nouvelle infrastructure MaaS avec IOCs, mapping MITRE ATT&CK Mobile, télémétrie opérationnelle et comparaison avec des clusters connus.

🧠 TTPs et IOCs détectés

TTP

• T1660 — Phishing (Initial Access)
• T1655 — Masquerading (Defense Evasion)
• T1407 — Download New Code at Runtime (Defense Evasion)
• T1406 — Obfuscated Files or Information (Defense Evasion)
• T1633.001 — Virtualization/Sandbox Evasion: System Checks (Defense Evasion)
• T1629 — Impair Defenses (Defense Evasion)
• T1398 — Boot or Logon Initialization (Persistence)
• T1636.004 — Protected User Data: SMS Messages (Collection)
• T1417.002 — Input Capture: GUI Input Capture (Collection)
• T1582 — SMS Control (Impact)
• T1616 — Call Control (Impact)
• T1437.001 — Application Layer Protocol: Web Protocols (Command and Control)
• T1521 — Encrypted Channel (Command and Control)
• T1646 — Exfiltration Over C2 Channel (Exfiltration)

IOC

• Domaines : mr-panel.pages.dev — VT · URLhaus · ThreatFox
• Domaines : mr-panel-bbv.pages.dev — VT · URLhaus · ThreatFox
• Domaines : baccha-a07d9-default-rtdb.firebaseio.com — VT · URLhaus · ThreatFox
• URLs : https://t.me/MRrobottttt070_bot — URLhaus
• SHA256 : 8b8e44431aff7fcf38f67ac30d4c63250e51117861635a8510ea1c897df49488 — VT · MalwareBazaar
• SHA256 : FDE290DF3F3575E8359044D5489E67FF189132B9D73F4FF90CF33D297EB65A4F — VT · MalwareBazaar
• SHA256 : CCD0BB059C9DA0AFB433EFFEBC3C9ED76751569F5ABCD1B34D7FC3DAB87FD74B — VT · MalwareBazaar
• Fichiers : MR_ROBOT.apk

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 31 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• MR ROBOT (other)
• APK Shield (loader)
• ApkShieldVpnService (tool)

🟢 Indice de vérification factuelle : 83/100 (haute)

• ✅ cloudsek.com — source reconnue (Rösti community) (20pts)
• ✅ 26043 chars — texte complet (fulltext extrait) (15pts)
• ✅ 8 IOCs dont des hashes (15pts)
• ✅ 1/7 IOC(s) confirmé(s) (MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (8pts)
• ✅ 14 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• mr-panel-bbv.pages.dev (domain) → VT (9/92 détections)

🔗 Source originale : https://www.cloudsek.com/blog/inside-mr-robot-malware-as-a-service-targeting-indian-bank-customers