Plus de 200 fausses applications Android escroquent secrètement les utilisateurs.
Une vaste campagne de logiciels malveillants cible les utilisateurs d'Android avec des centaines de fausses applications imitant des jeux et des réseaux sociaux populaires, s'abonnant silencieusement à des services payants pour voler de l'argent via leurs factures de téléphone mobile.
Les experts en cybersécurité de la société américaine Zimperium viennent de découvrir une campagne de fraude sophistiquée utilisant près de 250 applications Android malveillantes pour inciter les utilisateurs à s'abonner à des services payants à leur insu.
Ces applications sont déguisées en jeux populaires et en plateformes de médias sociaux comme TikTok, Minecraft, Grand Theft Auto, Threads ou Facebook Messenger.
Une fois installées, ces applications inscrivent secrètement les victimes à des services de contenu premium, ce qui entraîne une facturation directe des utilisateurs via leurs factures de téléphone ou leurs comptes de réseau mobile.
Selon Zimperium, cette campagne a été suivie de mars 2025 à au moins janvier 2026 et a été particulièrement active en Malaisie, en Roumanie, en Thaïlande et en Croatie.
Le logiciel malveillant ne s'active qu'avec le fournisseur de réseau ciblé.
Le danger de cette campagne réside dans sa capacité à cibler ses ennemis avec une extrême précision. Le logiciel malveillant lit les informations de la carte SIM de l'appareil afin de déterminer l'opérateur de la victime avant de lancer l'attaque.
Si l'utilisateur n'appartient pas au groupe d'opérateurs ciblé, l'application n'affichera que des sites web inoffensifs afin d'éviter d'être détectée. En revanche, si l'appareil utilise l'opérateur préprogrammé, le logiciel malveillant déclenchera le processus d'hameçonnage.
Dans de nombreux cas, la fausse application demande aux utilisateurs de « vérifier leur compte de jeu » ou de « vérifier leur service », volant ainsi le code OTP envoyé par SMS.
Pour commettre cet acte, les pirates ont exploité l'API de collecte de SMS d'Android afin d'intercepter les mots de passe à usage unique avant d'envoyer automatiquement des commandes JavaScript aux passerelles de paiement des opérateurs.
Trois variantes de logiciels malveillants dotées de mécanismes de fonctionnement sophistiqués.
Selon les chercheurs, la campagne a utilisé trois variantes de logiciels malveillants différentes, toutes ayant le même objectif : voler de l’argent via les services de paiement du réseau mobile.
La première variante consistait à souscrire automatiquement à des forfaits payants. C'était aussi la version la plus sophistiquée, capable de lire les cartes SIM et de s'activer uniquement sur les opérateurs disposant de codes pré-cryptés.
La seconde variante cible principalement les utilisateurs en Thaïlande via des SMS surtaxés. Ce logiciel malveillant utilise un mécanisme multicouche pour échapper à la détection : l’application affiche une interface légitime, mais ouvre secrètement des WebViews cachées pour accéder aux plateformes de paiement.
De plus, les attaquants ont utilisé des techniques de vol de cookies pour maintenir les sessions de connexion avec le système de paiement du fournisseur de réseau.
Parallèlement, la troisième variante combine le phishing par SMS avec un système de notification en temps réel via Telegram, permettant aux pirates de surveiller directement les appareils infectés avec succès et d'optimiser leurs opérations d'attaque.
Google a pris la parole, mais les experts restent inquiets.
Selon Dark Reading, Google affirme que les applications malveillantes susmentionnées n'apparaissent pas sur le Google Play Store.
Google a également indiqué que la fonctionnalité Google Play Protect, activée par défaut sur les appareils Android, peut protéger automatiquement les utilisateurs contre les variantes de logiciels malveillants connues.
Cependant, de nombreux experts estiment que cet incident met en lumière les vulnérabilités croissantes de l'écosystème des applications Android, notamment parce que les pirates informatiques exploitent sans cesse des fonctionnalités légitimes à des fins d'attaque.
Les experts en sécurité estiment qu'il ne s'agit pas de vulnérabilités difficiles à détecter, mais plutôt de fonctionnalités courantes des plateformes qui ne sont pas encore suffisamment réglementées pour prévenir les risques d'abus.
Que peuvent faire les utilisateurs d'Android pour se protéger ?
Les experts conseillent aux utilisateurs de télécharger uniquement des applications provenant de sources fiables et d'éviter d'installer des fichiers APK provenant de tiers ou de liens d'origine inconnue.
De plus, les utilisateurs doivent vérifier régulièrement leurs factures de téléphone, examiner tout abonnement inhabituel et activer les fonctions de protection telles que Google Play Protect.
Face à la sophistication croissante des campagnes de logiciels malveillants, les experts estiment que les entreprises technologiques doivent revoir leur approche de la sécurité des applications au lieu de se fier uniquement aux mécanismes de censure traditionnels.