Un logiciel espion circule sous l’apparence d’un antivirus pour Android et piège les utilisateurs via des liens reçus dans les messageries. L’app simule un scan, réclame des permissions intrusives, puis peut enregistrer l’écran, capter l’audio et piller vos données, une campagne active depuis février 2025 selon des chercheurs.
L’essentiel
- L’app malveillante se diffuse hors Play Store, souvent via messageries.
- Le faux scan sert à obtenir des permissions sensibles et persistantes.
- Vol de mots de passe, enregistrements audio, accès caméra et localisation.
- Campagne structurée, réseau de serveurs de contrôle difficile à bloquer.
- Installer uniquement depuis des sources officielles, vérifier chaque droit.
L’attaque repose sur une mise en scène familière qui rassure au premier regard. L’interface promet un « nettoyage » rapide, puis affiche de fausses menaces pour pousser l’utilisateur à accepter des autorisations qu’il n’aurait jamais validées en temps normal. Derrière cette façade, l’implant espion opère en silence, se met à l’abri des outils classiques et attend les moments opportuns pour exfiltrer des données sensibles. Le canal de distribution est tout aussi banal, des liens partagés par un contact ou un groupe, parfois sur Telegram, parfois par SMS, la confiance jouant ici contre la prudence.
Plus insidieux encore, l’outil abuse des mécanismes du système pour survivre aux redémarrages et se relancer automatiquement, ce qui retarde sa détection. Il exploite des droits larges, lecture des notifications, superposition d’écran, services d’accessibilité, afin de surveiller les actions et de piloter discrètement le téléphone. La meilleure défense n’est pas un outil miracle mais une hygiène numérique constante, limiter les installations hors boutiques officielles, contrôler chaque permission, maintenir le téléphone à jour et croiser les sources avant d’ajouter une application dite de sécurité.
Comment l’arnaque se déploie sur Android
Les opérateurs misent sur la confiance sociale et sur la fatigue informationnelle. Un lien arrive dans une conversation, un ami ou un groupe recommande un « antivirus » présenté comme protecteur bancaire, l’utilisateur installe l’APK hors boutique puis l’app affiche un tableau de bord rassurant. Un scan fictif se lance, des alertes rouges surgissent et la demande d’autorisations suit, accès aux notifications, aux services d’accessibilité, à l’enregistrement d’écran, à la caméra et au micro. D’un simple geste, la porte s’ouvre et l’outil espion prend ses quartiers, l’utilisateur pense avoir renforcé sa sécurité alors qu’il vient de la démanteler, un piège documenté par l’enquête d’Infobae au sujet d’une campagne récente qui usurpe les codes d’un antivirus.
Ce scénario se nourrit d’habitudes bien ancrées. Beaucoup d’utilisateurs cliquent sur des liens partagés sans vérifier l’origine, confondent interface léchée et légitimité, et accordent des permissions en cascade pour « aller plus vite ». L’attaquant fait tout pour encourager cette précipitation, il ajoute un compte à rebours, promet un « bouclier total », affirme que le téléphone est déjà « sévèrement infecté ». Une fois l’implant actif, il peut persister via des services en arrière-plan et se rendre difficile à purger, surtout si des droits d’accessibilité lui permettent de s’auto-accorder de nouveaux privilèges. Le constat est simple, sur mobile, l’ingénierie sociale précède la technique et lui ouvre la voie.
Ce que fait réellement l’espion une fois installé
Derrière la promesse d’un diagnostic, l’outil intercepte et collecte, carnet d’adresses, SMS et messageries, notifications, captures d’écran, position, microphone et caméra. Les opérateurs orchestrent les commandes à distance et reçoivent les données via une flotte de serveurs de contrôle, un maillage qui complique les blocages et rend la campagne résiliente. Le code peut aussi prévoir des modules inactifs, prêts à être activés plus tard, y compris l’exfiltration de la galerie photo, un détail qui montre l’ambition du projet et sa capacité d’adaptation, autant d’éléments décrits dans le rapport technique de Kaspersky qui retrace la chronologie et les capacités du logiciel espion.
Les permissions jouent ici le rôle de sésame. Une fois l’accès aux notifications accordé, l’outil lit les codes d’authentification et les messages sensibles. Avec l’enregistrement d’écran, il capture les gestes et les interfaces d’apps financières. Avec les services d’accessibilité, il peut cliquer, valider, faire défiler, bref simuler vos actions. L’accès au micro transforme le téléphone en dispositif d’écoute qui s’active en tâche de fond. La combinaison de ces droits permet un suivi fin et des actions invisibles, depuis la simple collecte jusqu’au pilotage à distance. C’est précisément cette polyvalence qui rend l’implant dangereux, et qui impose de reprendre le contrôle méthodiquement, en révoquant chaque droit puis en supprimant la source de l’infection.
Pourquoi ces faux antivirus piègent encore autant d’utilisateurs
Le mobile concentre nos usages, banques, identités, double authentification, réseaux, loisirs, ce qui en fait une cible rentable. Les campagnes modernes ne cherchent plus seulement à faire du volume, elles optimisent la conversion par des messages ciblés et des façades crédibles. Certaines imitent des pages de marque, d’autres se font passer pour des correctifs de sécurité, beaucoup exploitent des chaînes de messagerie où le paravent de la recommandation suffit à faire tomber les défenses. Pendant ce temps, les protections progressent mais ne peuvent pas bloquer ce que l’utilisateur autorise volontairement, d’où l’importance d’une vigilance active, renforcée par le bilan officiel de Google Play Protect qui rappelle son rôle en détection temps réel tout en soulignant les risques hors boutiques.
Le paysage lui-même s’intensifie. Les chiffres publiés ces derniers mois par des acteurs de la sécurité montrent une hausse marquée des menaces mobiles, avec des familles qui réapparaissent, des trojans bancaires qui se déguisent en utilitaires et des espions qui perfectionnent la furtivité. Les attaquants ajoutent des délais d’activation, changent fréquemment d’infrastructure et réempaquettent leurs apps pour contourner les filtres. Cette dynamique appelle une réponse d’usage, restreindre le nombre d’applications installées, vérifier la réputation des éditeurs, refuser les permissions non nécessaires, et privilégier des sources officielles. L’utilisateur reste la première ligne de défense et la plus décisive.
Contrôles à faire avant d’installer une application de sécurité
Commencez par chercher le nom exact de l’app et de l’éditeur dans la boutique officielle, puis lisez les avis récents en vous méfiant des commentaires génériques trop enthousiastes. Vérifiez l’historique, mises à jour régulières, présence d’un site de support, politique de confidentialité accessible et cohérente. Passez en revue la liste des permissions avant installation, un « antivirus » n’a pas à demander l’accès aux SMS ou à se superposer à l’écran en permanence. Comparez avec une solution reconnue, si l’app fantôme réclame davantage de privilèges que les références du secteur, c’est un signal d’alerte. Pour les chiffres de tendance et les familles actives, consultez des sources spécialisées qui publient des baromètres de menaces, à l’image des analyses récentes de Malwarebytes qui détaillent l’essor du malware mobile et ses tactiques.
Activez les protections natives du téléphone. Sur Android, Play Protect scanne les apps installées et peut bloquer des comportements suspects en amont, à condition que la fonction soit bien activée dans Google Play Services. Évitez les APK partagés par messagerie, même si l’expéditeur vous est familier, un compte compromis peut rediffuser des liens malveillants à votre insu. Examinez les permissions au premier lancement, refusez l’accès aux services d’accessibilité si l’app n’en a pas un besoin clair, limitez la caméra, le micro et la localisation au strict nécessaire. Enfin, adoptez une règle simple, si une application de « sécurité » n’existe pas dans la boutique et n’a pas d’historique public vérifiable, abstenez-vous.
Que faire si vous avez installé une app suspecte
Coupez immédiatement la connexion réseau pour stopper l’exfiltration, puis redémarrez en mode sans échec si votre appareil le permet, cela désactive les apps tierces pendant la session. Ouvrez les paramètres et consultez les services d’accessibilité, notifications, superposition d’écran, retirez tous les droits accordés à l’app douteuse. Dans « Administrateurs de l’appareil », révoquez la capacité à empêcher la désinstallation, puis supprimez l’application. Lancez ensuite un contrôle avec une solution réputée et mettez à jour le système, les correctifs fermant souvent des failles exploitées, une démarche conforme aux recommandations pédagogiques des guides anti-spyware de Kaspersky qui détaillent détection et remédiation sur Android.
Surveillez les comptes associés au téléphone, mails, réseaux sociaux, services bancaires. Changez les mots de passe depuis un autre appareil sain et activez l’authentification à deux facteurs avec une application dédiée plutôt que par SMS lorsque c’est possible. Inspectez les applications ayant des permissions sensibles et désinstallez celles que vous n’utilisez plus. Si des signes d’infection persistent, réinitialisez l’appareil après sauvegarde chiffrée des données essentielles et restaurez ensuite uniquement depuis des sources de confiance, sans réimporter les APK installés manuellement. Prévenez enfin vos proches, si l’app a utilisé vos messageries pour se propager, un message d’alerte peut éviter d’autres infections.
Prévenir durablement, des réflexes simples et efficaces
Limitez le catalogue d’applications à l’indispensable, moins d’apps signifie moins de surface d’attaque. Mettez à jour le téléphone et les applications dès que les notifications l’indiquent, les cycles de correctifs sont pensés pour réduire l’exposition. Désactivez l’installation d’apps inconnues et refusez la superposition d’écran pour les services qui n’en ont pas besoin. Éduquez les utilisateurs de votre entourage, enfants et parents, sur les signaux d’alerte, liens partagés, urgences artificielles, demandes de permissions démesurées. Rappelez que les véritables protections ne se vantent pas d’un « scan miracle » au premier lancement, elles expliquent sobrement ce qu’elles font et respectent vos choix, une distinction que soulignent aussi les articles de presse qui vulgarisent ces campagnes, comme le papier de synthèse de Tom’s Guide basé sur des analyses de chercheurs indépendants.
En cultivant ces habitudes, on inverse le rapport de force. Les campagnes d’ingénierie sociale perdent en efficacité, les implants échouent à obtenir les droits clés et les rares incidents deviennent plus faciles à contenir. L’objectif n’est pas d’atteindre le risque zéro mais de réduire drastiquement la probabilité d’une compromission grave et d’accélérer la réponse si elle survient. Sur mobile, la sécurité est d’abord un art des petits gestes répétés, choisir ses sources, douter des promesses trop belles, lire ce que l’on accepte, et garder la main sur ce qui compte vraiment.
