Android

🔍 Contexte Publié le 21 août 2026 par Dmitry Kalinin sur Securelist (Kaspersky), cet article documente la découverte en juin 2026 d’un malware Android multi-étapes ciblant les autoradios embarqués (head units) basés sur Android, représentant le premier cas documenté d’infection via la chaîne de mise à jour spécifique à ce type d’équipement. 🎯 Vecteur d’infection Le vecteur d’infection repose sur l’application légitime TWCore (package com.tw.core), responsable de la collecte d’analytics et des mises à jour logicielles sur les autoradios DoFun. TWCore reçoit des messages via un broker MQTT hébergé sur cardoor.cn, contenant des instructions pour télécharger et installer des APK. Un champ installNotExists permet d’installer des applications absentes du firmware d’origine, sans vérification d’intégrité suffisante. ...

🔍 Contexte Publié le 5 août 2026 sur SecurityWeek par Eduard Kovacs, cet article couvre une présentation faite à la conférence Black Hat USA 2026 par deux chercheurs en sécurité : Dimitrios Valsamaras (Microsoft) et Ken Gannon (Mobile Hacking Lab). La chaîne d’exploitation avait été démontrée en octobre 2025 lors du concours Pwn2Own Ireland, rapportant 50 000 $ aux chercheurs. 🎯 Cibles et périmètre Les appareils ciblés sont des smartphones Samsung Galaxy (S24, S25, Flip 7) équipés des applications préinstallées Samsung Members, Samsung Account et Bixby. L’attaque fonctionne également sur des appareils plus anciens non patchés. ...

🔍 Contexte Source : Cyberint (Check Point), publié le 26 juillet 2026. L’article présente une analyse technique détaillée de SparkKitty, un malware infostealer multiplateforme découvert par Kaspersky début 2024 et documenté publiquement en juin 2025. 🦠 Description du malware SparkKitty est un infostealer cross-platform ciblant Android et iOS, conçu pour exfiltrer des données sensibles — principalement des seed phrases de portefeuilles de cryptomonnaies — en exploitant des techniques de reconnaissance optique de caractères (OCR) appliquées aux images stockées sur l’appareil. Il est présenté comme une évolution directe du stealer SparkCat. ...

🔍 Contexte Publié le 7 juillet 2026 par Vishnu Pratapagiri (Zimperium zLabs), cet article présente l’analyse technique complète de RedWing, un nouveau spyware Android distribué sous forme de Malware-as-a-Service (MaaS) via un canal Telegram. Le malware présente des liens avec des acteurs de menace russes et est considéré comme une variante évoluée du malware Oblivion, en raison de similarités au niveau du dropper et des overlays. 🎯 Modèle commercial et distribution RedWing est commercialisé via un bot Telegram permettant la création, l’obfuscation et la personnalisation d’APK malveillants sans compétences techniques avancées. Le modèle économique inclut : ...

🌐 Contexte Source : BleepingComputer, publié le 3 juillet 2026. Une opération coordonnée a ciblé NetNut (aussi connu sous le nom Popa), l’un des plus grands réseaux proxy résidentiels au monde, utilisé par des cybercriminels et des groupes d’espionnage pour masquer leur trafic malveillant derrière des adresses IP résidentielles légitimes. 🎯 Nature de la menace NetNut est un botnet proxy résidentiel estimé à au moins 2 millions d’appareils compromis, principalement des smart TVs et boîtiers de streaming Android. Les appareils sont infectés via : ...

🔍 Contexte Publié le 16 juin 2026 sur le blog Kaspersky, cet article rapporte la découverte par Alexander Kozlov et Sergey Anufrienko (Kaspersky ICS CERT) d’une vulnérabilité critique dans les puces Qualcomm, présentée lors de la conférence Black Hat Asia 2026. 🧩 Nature de la vulnérabilité La faille, référencée CVE-2026-25262, est classée CWE-123 (Write-What-Where Condition) et réside dans la BootROM des puces Qualcomm, plus précisément dans le protocole Sahara, composant du mode de téléchargement d’urgence (EDL). Ce protocole s’exécute avant tout système d’exploitation, avant toute vérification de droits ou contrôle de sécurité. ...

🔍 Contexte Publié le 26 mai 2026 par ESET (WeLiveSecurity), cet article présente une analyse technique du malware Android BTMOB, un RAT (Remote Access Trojan) découvert lors d’une revue des détections de menaces au Brésil. L’analyse est signée par Daniel Cunha Barbosa. 🧬 Origine et évolution BTMOB a été décrit pour la première fois en février 2025 et est issu de l’évolution du malware SpySolr. Contrairement aux trojans bancaires classiques, BTMOB offre des capacités plus larges : ...

🔍 Contexte Publié le 20 mai 2026 par Zimperium (zLabs), cet article présente les résultats d’une investigation sur une campagne de fraude par facturation opérateur mobile (carrier billing fraud) ciblant des utilisateurs Android dans quatre pays : Malaisie, Thaïlande, Roumanie et Croatie. La campagne a été active d’au moins mars 2025 à janvier 2026 (~10 mois), avec des portions d’infrastructure encore opérationnelles à la date de publication. 🎯 Ciblage et distribution La campagne comprend près de 250 applications malveillantes distribuées via TikTok, Facebook et Google, se faisant passer pour des applications populaires : ...

🔍 Contexte Publié le 28 mai 2026 par Plume Security Labs (Plume Design, Inc.), ce rapport de recherche en deux parties documente l’investigation menée sur les appareils de streaming SuperBox (séries S4, S5, S6, S6MAX). L’enquête a débuté après que le NOC de Plume a détecté un volume anormal de trafic sortant provenant de ces appareils au sein de réseaux résidentiels, menaçant leur stabilité. 🎯 Vecteurs d’infection identifiés L’investigation a mis en évidence plusieurs vecteurs permettant l’installation de logiciels malveillants : ...

🔍 Contexte Publié le 19 mai 2026 par Imran Azad sur le blog de HUMAN Security, cet article présente les conclusions de l’équipe Satori Threat Intelligence and Research Team concernant l’opération Trapdoor, une campagne de fraude publicitaire Android de grande envergure détectée et neutralisée par HUMAN. 🎯 Description de l’opération Trapdoor Trapdoor est un schéma Android multi-étapes qui fusionne malvertising (distribution) et fraude publicitaire (monétisation) en un système auto-entretenu : 455 applications Android malveillantes impliquées 183 domaines C2 contrôlés par les acteurs de la menace 659 millions de bid requests par jour au pic de l’activité 24 millions de téléchargements d’applications liées à l’opération ⚙️ Mécanisme en deux étapes Étape 1 – Distribution via malvertising : L’utilisateur télécharge une application utilitaire légitime en apparence (ex : lecteur PDF) depuis le Google Play Store. Après installation, l’app lance des campagnes de malvertising affichant une fausse alerte de mise à jour. Si l’utilisateur clique, une seconde application malveillante est installée. ...