Android

🔍 Contexte Source : Malwarebytes, publié le 2 novembre 2026. L’article rapporte la découverte et la correction d’une vulnérabilité de type credential hardcodé dans l’application Android de la chaîne de restauration Applebee’s (filiale de Dine Brands). 🛠️ Vecteur de la vulnérabilité Le chercheur Robert Wiggins a identifié un mot de passe codé en dur (hardcoded credential) directement dans le code ou la configuration de l’application Android d’Applebee’s, avec l’assistance d’un outil d’IA. Ce mot de passe lui a permis d’accéder directement à une base de données clients interne. ...

🔍 Contexte Publié le 28 octobre 2026 par CloudSEK (Bhavik Malhotra), cet article présente une analyse technique approfondie de MR ROBOT, une opération Malware-as-a-Service (MaaS) Android inédite ciblant les clients de banques indiennes. L’investigation a débuté à partir d’un APK malveillant se faisant passer pour une mise à jour Aadhaar d’une banque publique. 🏗️ Modèle opérationnel MR ROBOT fonctionne comme une plateforme crimeware en libre-service : Un opérateur maître loue l’accès à des affiliés via un modèle d’abonnement (App ID par affilié avec expiration) Un bot Telegram « APK Shield » permet de générer des APK personnalisés et des liens de distribution style Play Store Un panneau de contrôle web (v7.0) hébergé sur Cloudflare Pages offre gestion des victimes, interception SMS, transfert d’appels, et construction d’APK à la demande Une hiérarchie affilié/sous-admin avec limites de connexion et permissions différenciées 🦠 Capacités techniques Le dropper (famille com.apkshield.installer.*) déchiffre un payload AES-128-CBC+GZIP pour installer un trojan bancaire capable de : ...

🔍 Contexte Publié le 29 octobre 2026 sur smsofdeath.com par le chercheur Mark B (alias @sourone), cet article constitue une divulgation publique complète d’une vulnérabilité zero-click affectant le framework téléphonie d’Android. La vulnérabilité a été signalée à Google le 5 mai 2026 et corrigée dans la mise à jour de sécurité Android d’octobre 2026. 🐛 Vulnérabilité technique Le composant WapPushOverSms.java (frameworks/opt/telephony) contient un cast non borné d’une valeur long vers int lors du décodage de l’en-tête WSP d’un message WAP Push : ...

🔍 Contexte Analyse technique publiée le 21 octobre 2026 sur le blog 0x0v1 par le chercheur Ovi, portant sur uCreator (nom interne vendeur : YingGai), une plateforme commerciale de surveillance Android de type « mass control » (群控), active depuis au moins 2014 et toujours en développement actif en 2026. 🧩 Architecture de la plateforme La plateforme est un framework productisé composé de plusieurs éléments : Un moteur VirtualApp/LSPatch/Pine pour l’injection in-process sans root Une bibliothèque de modules de hook par application cible Un plan de contrôle Redis et HTTP Une ferme de téléphones cloud pour le contrôle d’écran en direct Une console opérateur Windows Un backend Spring Cloud microservices avec Kafka et RocketMQ Les applications ciblées incluent : GCash, WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber, MoMo. ...

📅 Source : BleepingComputer | Date : 16 septembre 2026 Google a publié le bulletin de sécurité de septembre 2026 pour ses appareils Pixel, adressant 110 vulnérabilités au total, dont un zero-day activement exploité dans des attaques ciblées. 🔴 Vulnérabilité zero-day : CVE-2026-58704 Cette faille de haute sévérité affecte le sous-composant Modem des appareils Pixel. Elle résulte d’une erreur de logique dans le code entraînant un contournement de permissions, classifié comme : ...

🔍 Contexte Publié le 16 septembre 2026 par Zimperium zLabs (auteurs : Gianluca Braga, Vishnu Pratapagiri, Fernando Ortega), cet article présente l’analyse technique complète de RatHat, un nouveau malware Android attribué à des acteurs opérant depuis la Chine. 🎯 Vecteurs d’infection RatHat est distribué via : Smishing (campagnes SMS/phishing) Malvertising redirigeant vers des portails de téléchargement tiers frauduleux Forums tiers proposant des APKs malveillants déguisés en applications légitimes 🏗️ Architecture technique Le malware repose sur trois composants principaux : ...

🔬 Contexte Publié le 8 septembre 2026 par la société de recherche offensive Calif (calif.io), cet article présente WeWorm, décrit comme le premier ver zero-click capable de se propager automatiquement via les appels WeChat sur iOS et Android. La recherche a été couverte par le New York Times. 🐛 La vulnérabilité Le bug est une corruption mémoire (memory corruption) dans la pile VoIP de WeChat. Il permet une exécution de code à distance (RCE) déclenchée uniquement par un appel entrant, sans que la victime n’ait besoin de décrocher ou d’interagir avec son téléphone. Les détails techniques complets sont retenus dans l’attente d’une présentation en conférence. ...

🔍 Contexte Publié le 31 août 2026 par Lukas Maar (Calif), cet article de recherche présente la première partie d’une série décrivant une stratégie d’exploitation générique permettant de passer du contexte untrusted_app Android aux privilèges root sur les appareils flagship de Samsung, Xiaomi et Oppo/OnePlus/Realme. 🎯 Stratégie OEMpocalypse La stratégie repose sur deux étapes : Stage 1 (optionnel) — Sandbox Escape : Exploitation d’une faille logique dans un endpoint IPC OEM (Binder, intent, socket local) pour passer du domaine SELinux untrusted_app vers un processus OEM privilégié (app système, daemon natif) ayant accès au driver ciblé. Stage 2 — Page Use-After-Free (UAF) : Exploitation d’un page UAF dans un driver kernel OEM-spécifique, fournissant un primitif de lecture/écriture physique indépendant des protections slab (CONFIG_SLAB_BUCKETS, KASLR, CFI). 📱 Couverture des appareils testés OEM Appareils Chipset Android Kernel Samsung Galaxy S26 Ultra Snapdragon 8 Elite Gen 5 16 6.12.30 Samsung Galaxy S26 Exynos 2600 16 6.12.38 Samsung Galaxy S23 Snapdragon 8 Gen 2 14 5.15.148 Xiaomi Xiaomi 17 Snapdragon 8 Elite Gen 5 16 6.12.23 Oppo Find X9 Ultra Snapdragon 8 Elite Gen 5 16 6.12.58 OnePlus Ace 6 Ultra MediaTek Dimensity 9500 16 6.12.58 Tous les appareils testés fonctionnaient avec un bootloader verrouillé et un firmware stock signé (Verified boot: green, VBMeta: locked). ...

📰 Source : Ars Technica (Dan Goodin), publié le 31 août 2026. L’article s’appuie sur une recherche publiée par la société de sécurité Plume, focalisée sur le lecteur multimédia SuperBox S7 Pro et son écosystème malveillant. 🎯 Contexte Face au blocage croissant du trafic malveillant par les services en ligne, les attaquants recourent massivement aux réseaux proxy résidentiels. Ces réseaux agrègent des millions de connexions domestiques pour permettre aux cybercriminels de router leur trafic via des adresses IP à bonne réputation. Les appareils de streaming proposant du contenu piraté gratuit constituent un vecteur privilégié de recrutement de ces nœuds, souvent à l’insu des utilisateurs. ...

🔍 Contexte Publié le 21 août 2026 par Kaspersky (Securelist), cet article présente la découverte en juin 2026 d’un nouveau malware Android ciblant des autoradios embarqués (head units) de marque DoFun. Il s’agit du premier cas documenté de malware spécifiquement conçu pour ce type de dispositif. 🎯 Vecteur d’infection Le malware est distribué via TWCore (com.tw.core), une application système légitime responsable des mises à jour du firmware. TWCore reçoit des instructions via un broker MQTT hébergé sur cardoor[.]cn, qui lui ordonne de télécharger et d’installer des APK malveillants. Le champ installNotExists permet l’installation d’applications absentes du dispositif à l’origine. ...