Android

🌐 Contexte Le 21 mars 2026, Security Affairs rapporte qu’une opération internationale coordonnée par le Département de Justice américain (DoJ) a ciblé l’infrastructure de commandement et contrôle (C2) de plusieurs botnets IoT majeurs : AISURU, Kimwolf, JackSkid et Mossad. L’opération a impliqué des autorités du Canada et de l’Allemagne, ainsi que des entreprises technologiques privées. 🎯 Botnets ciblés et ampleur Les quatre botnets ont infecté plus de 3 millions d’appareils dans le monde, principalement des équipements IoT (caméras, routeurs). Ils opéraient selon un modèle cybercrime-as-a-service, louant l’accès aux appareils compromis pour lancer des attaques DDoS massives : ...

📅 Source : BleepingComputer — publié le 21 mars 2026 🔍 Contexte Google a annoncé l’introduction d’un nouveau mécanisme dans Android nommé Advanced Flow, destiné à encadrer le sideloading d’APK (installation d’applications hors Play Store) provenant de développeurs non vérifiés. ⚙️ Détails de la fonctionnalité Advanced Flow est conçu pour les utilisateurs avancés (power users) souhaitant installer des applications depuis des sources tierces non vérifiées. L’objectif est de permettre cette pratique de manière plus sécurisée, en ajoutant un flux de contrôle supplémentaire lors du processus d’installation. 📌 Type d’article Il s’agit d’une annonce de mise à jour produit par Google concernant une évolution de sécurité dans le système d’exploitation Android. Le but principal est d’informer sur une nouvelle fonctionnalité de sécurité visant à réduire les risques liés au sideloading d’applications. ...

Selon The Register, s’appuyant sur les analyses d’Acronis Threat Research Unit (TRU), une campagne de smishing en Israël distribue depuis le 1er mars une application d’alerte aux roquettes « Red Alert » trojanisée, déguisée en mise à jour urgente de « Oref Alert ». Les autorités (Israeli National Cyber Directorate) et les grands médias israéliens ont émis des avertissements. • Vecteur d’infection 🚨: des SMS usurpant « Oref Alert » avec ID d’expéditeur spoofé et lien bit.ly redirigeant vers un spyware Android au lieu d’une mise à jour légitime de Red Alert. ...

Selon ESET Research, PromptSpy est le premier malware Android observé qui intègre de l’IA générative (Google Gemini) dans sa chaîne d’exécution pour assurer sa persistance. • Découverte et portée. PromptSpy est présenté comme un cas inédit d’exploitation opérationnelle de l’IA générative sur Android, avec un objectif principal de déploiement d’un module VNC offrant un accès distant complet à l’appareil compromis. Le malware dispose de multiples capacités malveillantes (exfiltration de données de l’écran de verrouillage, blocage de la désinstallation, collecte d’informations système, captures d’écran et enregistrements vidéo). À ce stade, aucune détection n’a été observée dans la télémétrie d’ESET, laissant envisager un statut de preuve de concept (PoC). ...

Selon l’équipe Mobile Threat Intelligence (MTI), une nouvelle famille de malware Android baptisée « Massiv » a été observée dans des campagnes ciblées, principalement en Europe, se faisant passer pour des applications IPTV afin de prendre le contrôle des appareils et mener des fraudes bancaires. • Nature de la menace. Massiv est un trojan bancaire Android axé Device Takeover (DTO), sans liens directs avec des menaces connues. Il combine overlays, keylogging, interception SMS/Push et un contrôle à distance complet de l’appareil, avec un C2 en WebSocket et opérations en screen streaming (MediaProjection) ou en mode UI-tree (traversée Accessibility pour contourner les protections anti-capture). ...

ESET Research (WeLiveSecurity) publie l’analyse de PromptSpy, « premier » malware Android observé à intégrer de l’IA générative dans son flux d’exécution. Découvert en février 2026, il s’appuie sur Google Gemini pour guider des interactions d’interface contextuelles et maintenir la persistance, tout en déployant un module VNC pour un accès à distance complet. Les échantillons semblent viser prioritairement l’Argentine et pourraient avoir été développés dans un environnement sinophone. 🧪 Fonctionnalité IA générative (Gemini) 🤖: PromptSpy sérialise en XML l’état courant de l’UI (texte, types, packages, bounds) et l’envoie à Gemini, qui renvoie des instructions JSON (taps, swipes, long press) pour exécuter le geste « verrouiller l’app dans les applications récentes » — un mécanisme de persistance résistant aux variations d’UI selon les modèles et versions Android. Le malware boucle jusqu’à confirmation explicite de réussite par l’IA. ...

Source : Kaspersky (Securelist) — Dans une publication de recherche, les analystes détaillent « Keenadu », un nouveau backdoor Android intégré à la chaîne d’approvisionnement du firmware, capable de s’injecter dans tous les processus via Zygote et d’offrir un contrôle quasi illimité des appareils infectés. L’étude couvre l’architecture, les charges utiles, les vecteurs de distribution (firmware, apps système et stores), et des liens avec d’autres botnets Android majeurs. • Vecteur et mécanisme d’infection. Keenadu est intégré durant la phase de build du firmware via une bibliothèque statique malveillante liée à libandroid_runtime.so, parfois livrée via mises à jour OTA signées. À l’exécution, il s’injecte dans Zygote et opère dans chaque application, rendant le sandboxing caduc. Il implémente une architecture client-serveur binder (AKClient/AKServer) au sein de system_server, avec des interfaces permettant de donner/révoquer des permissions, de collecter la géolocalisation et d’exfiltrer des données de l’appareil. Un kill switch est présent (fichiers spécifiques, détection langue/zone chinoises, absence de Google Play/Services). Les communications et charges sont chiffrées (RC4/AES‑CFB, signature DSA, MD5) et chargées via DexClassLoader. ...

Selon RSF Digital Security Lab (Reporters sans frontières), en collaboration avec RESIDENT.NGO et avec un appui d’Amnesty International Security Lab, un nouveau spyware Android nommé « ResidentBat » a été mis au jour après l’infection du téléphone d’un journaliste biélorusse au T3 2025, consécutive à une saisie par le KGB. • Le spyware, empaqueté en APK et installé via accès physique (pas d’exploits), abuse de permissions étendues et d’un service d’accessibilité pour collecter des SMS, appels entrants/sortants (avec enregistrement d’appels), fichiers, photos/vidéos, microphone, captures d’écran/vidéo (MediaProjection), presse-papiers (jusqu’à Android 10), localisation, notifications et contenus d’apps (messageries comme Telegram, Viber, Skype, VK, Signal, WhatsApp, etc.). Il se déclare Device Admin, peut verrouiller ou effacer l’appareil, et persiste en service au premier plan. ...

Selon Malwarebytes (rapport ThreatDown 2025 State of Malware), 2025 marque une accélération nette des menaces sur Android avec une professionnalisation des campagnes et une industrialisation des vols de données et d’accès. 📈 Tendances clés: les détections d’adware ont presque doublé sur la période juin–novembre 2025 vs décembre 2024–mai 2025, les PUPs ont fortement augmenté, et les malwares ont aussi progressé. Sur l’année précédente, malwares et PUPs représentent ensemble près de 90% des détections Android (≈43% malwares, 45% PUPs, 12% adware). Les attaques par SMS (smishing) et le vol de codes OTP sont désormais déployés à grande échelle. ...

Selon Forbes, Google a confirmé le 1er décembre des attaques en cours contre Android et a publié une mise à jour d’urgence pour les Pixel, tandis que la plupart des utilisateurs Samsung n’ont pas encore accès aux correctifs; la CISA a émis un avertissement le lendemain en exigeant des mises à jour ou l’arrêt d’usage des téléphones par le personnel fédéral. • Google indique que CVE-2025-48633 et CVE-2025-48572 « peuvent faire l’objet d’une exploitation limitée et ciblée », permettant un déni de service à distance sur les smartphones visés, sans privilèges d’exécution supplémentaires. ⚠️📱 ...