Attaque au ransomware Sarcoma contre Radix en Suisse

Contexte et ciblage de Radix

Radix, basé à Zurich, est une fondation spécialisée dans la promotion de la santé, notamment via des programmes éducatifs et des services de conseil en ligne comme SafeZone et StopSmoking. Cette entité travaille en partenariat avec plusieurs autorités fédérales suisses, des cantons, des communes et des organisations privées.

Le groupe Sarcoma : profil d’un nouvel acteur menaçant

Sarcoma est un acteur ransomware apparu pour la première fois en octobre 2024. En quelques mois, il a multiplié les attaques, en revendiquant notamment une compromission de l’industriel taïwanais Unimicron en février 2025. Le mode opératoire consistait alors en une double extorsion : vol de données sensibles puis chantage via encryption et menace de les diffuser sur le dark web.

Chronologie de l’attaque

L’assaut contre Radix aurait été initié le 16 juin 2025, selon les communiqués officiels de l’organisation et du Centre national suisse pour la cybersécurité (NCSC). Les hackers ont accédé au réseau, exfiltré puis chiffré des données. Après l’échec de l’extorsion, ils ont mis en ligne un volume estimé entre 1,3 et 2 téraoctets sur leur portail, un geste d’intimidation destiné à obliger Radix à céder.

Portée des données affectées

BleepingComputer évoque unvolume de données de 1,3 To, incluant des scans, contrats, communications, et enregistrements financiers. Radix et les autorités fédérales n’ont pour l’heure pas identifié d’éléments sensibles ou critiques parmi les données exposées, bien que l’enquête soit en cours.

Réaction de Radix et des autorités

À la découverte de l’intrusion, Radix a immédiatement coupé les accès, restauré les données chiffrées à partir de sauvegardes sécurisées, et surveille la situation de près. L’organisation affirme n’avoir pas encore engagé de négociations financières, sans toutefois exclure cette hypothèse. Par ailleurs, elle a averti individuellement les personnes potentiellement impactées et recommande vigilance face aux tentatives de phishing ou de fraude au long cours.

Enquête en cours et mesures en cours

Le NCSC suisse, épaulé par des experts indépendants, est mobilisé pour analyser le volume volé, en établir la nature exacte et déterminer quelles agences fédérales ont été affectées. Bien que Radix assure que ses plateformes de counselling SafeZone et StopSmoking, hébergées à l’extérieur de son infrastructure principale, n’ont pas été compromises, l’enquête est encore active.

Conséquences et responsabilités

Cette affaire rappelle la dépendance des institutions publiques envers des prestataires tiers, notamment dans le domaine de la santé. Le fait que Radix travaille pour des offices fédéraux met en lumière les risques associés à l’écosystème numérique public. Le précédent d’un incident similaire survenu en mars 2024, via l’attaque du prestataire Xplain par le groupe Play, qui avait alors entraîné la fuite de 65 000 documents gouvernementaux, accentue la gravité de la situation.

Analyse des méthodes cybercriminelles

Les experts en cybersécurité pointent un manuel opératif typique : accès initial via phishing ou faille non corrigée, exploitation de RDP, déplacement latéral sur le réseau, exfiltration, encryption, puis double extorsion. Des indices montrent que Sarcoma opère probablement depuis l’Europe de l’Est, sur le même modèle que d’autres groupes récents.

Enjeux pour la santé publique

La compromission d’une organisation public-privé comme Radix soulève une double problématique : premièrement, le risque pour les patients et citoyens dont les données pourraient être exposées ou utilisées contre eux ; deuxièmement, l’impact sur la confiance qu’accordent les autorités à leurs partenaires, qui pourrait freiner des initiatives de santé numériques si la sécurisation n’est pas garantie.

Pistes d’amélioration et perspectives

Les leçons à tirer sont claires : renforcer les audits de sécurité des infrastructures tierces, imposer des protections avancées (authentification multifacteur, segmentation réseau, anti-phishing, etc.), et établir des clauses contractuelles contraignantes sur la protection des données et les protocoles de réponse aux incidents. Un plus grand partage d’informations entre entités publiques, prestataires et NCSC améliorerait la résilience face aux menaces similaires.

En résumé

Cette attaque contre Radix orchestrée par le groupe Sarcoma met en lumière les vulnérabilités persistantes dans le maillage numérique des services publics en Suisse. Malgré les sauvegardes et la réactivité de Radix, les enjeux de confidentialité et de confiance restent critiques. Le gouvernement suisse et ses partenaires doivent impérativement renforcer les protections, intensifier la collaboration cybernationale et tirer des enseignements du passé pour éviter que la santé publique ne soit compromise à l’avenir.

Références :
Bleeping Computer - Switzerland says government data stolen in ransomware attack The Record Media - Swiss nonprofit health organization breached by Sarcoma ransomware group

Lire la suite

Europol démantèle un réseau de fraude aux cryptomonnaies

Le 30 juin 2025, Europol a annoncé la destruction d’un important réseau criminel spécialisé dans la fraude aux investissements en cryptomonnaies. L’enquête, coordonnée par les autorités espagnoles, a permis l’arrestation de cinq individus et la neutralisation d’un système de blanchiment ayant siphonné près de 460 millions d’euros (soit 540 millions de dollars) à plus de 5 000 victimes dans le monde entier.

Chronologie et déroulement de l’enquête

Le scandale a été révélé au terme d’une longue enquête commencée en 2023. Les autorités espagnoles, soutenues par Europol et accompagnées de partenaires en France, en Estonie et aux États‑Unis (notamment Homeland Security Investigations), ont mis en place un dispositif international d’enquête et d’analyse opérationnelle.

Le jour de l’interpellation, un expert en cryptomonnaies a été mobilisé en Espagne pour tracer et sécuriser les fonds détournés dès leur localisation sur les plateformes et portefeuilles ciblés. Au total, cinq suspects ont été arrêtés : trois dans les îles Canaries et deux à Madrid.

Un réseau sophistiqué à portée mondiale

Selon Europol, le réseau suspect employait une armée d’accompagnateurs disséminés sur plusieurs continents. Ces complices facilitaient la collecte des fonds grâce à divers moyens : retraits en espèces, virements bancaires et transactions en cryptomonnaies.

Les enquêteurs estiment que les cerveaux du système ont mis en place une infrastructure financière complexe basée à Hong Kong, composée de sociétés écrans et de comptes bancaires, ainsi que de passerelles de paiement utilisant des noms et identités variés. Cette architecture multilatérale permettait de camoufler la provenance et la destination des fonds, en multipliant les échanges sur différentes plateformes et comptes utilisateurs.

Le rôle de l’intelligence artificielle et la recrudescence des arnaques

Europol pointe une tendance inquiétante : l’usage croissant de l’intelligence artificielle dans les fraudes en ligne. Cette technologie permet de générer des publicités truquées extrêmement persuasives, mettant en scène des célébrités à l’aide de deepfakes.

En avril 2025, les autorités espagnoles ont déjà mené une opération parallèle, aboutissant à six arrestations pour avoir exploité l’IA dans le cadre d’arnaques spectaculaires liées aux cryptomonnaies. Ces techniques incluent des publicités détournées destinées à inspirer confiance et inciter à investir.

Cadre juridique et actions européennes

Face à l’explosion de ce type d’escroqueries, les régulateurs européens multiplient les initiatives. En France, l’Autorité des marchés financiers a mis hors ligne plus de 181 sites d’investissement factices, pour un préjudice moyen de 29 500 € par victime en 2024. Elle a également infligé 26,5 millions d’euros d’amendes à soixante entités impliquées. En Belgique, l’organisme FSMA a identifié des pertes de 15,9 millions d’euros, dont plus de 12,5 millions liées à des plateformes trompeuses, principalement en cryptomonnaies.

Les pertes dépassent également les frontières européennes : au Royaume-Uni, les citoyens ont perdu jusqu’à 1,17 milliard de livres en 2024 à cause de la fraude financière ; en Australie, plus de 119 millions de dollars australiens ont été perdus dans les premiers mois de 2025.

Perspectives

Cette vaste opération démontre que la lutte internationale contre les fraudes associées aux cryptomonnaies s’intensifie. Europol, via son partenariat avec la Guardia Civil espagnole, a su coordonner une riposte efficace, assortie d’une expertise technique cruciale et d’outils adaptés à la traçabilité des actifs blockchain.

Malgré la saisie de 460 millions d’euros, Europol se félicite mais prévient que l’enquête se poursuit : les infrastructures financières utilisées pourraient encore abriter des traces à extraire, et le réseau pourrait être plus étendu que ce que l’on sait à ce stade :contentReference[oaicite:14]{index=14}.

Enfin, les autorités alertent : les arnaques basées sur les cryptomonnaies et les investissements frauduleux, dopées par l’intelligence artificielle, représenteront probablement la forme dominante de cybercriminalité dans les années à venir. Les individus et les entreprises doivent rester vigilants et les régulateurs continuer à renforcer leurs outils et campagnes de sensibilisation.

Source : Europol helps disrupt $540 million crypto investment fraud ring

Lire la suite

Arnaque au faux support technique

En juin 2025, des experts en cybersécurité ont révélé une méthode d’escroquerie en ligne particulièrement ingénieuse. Des cybercriminels utilisent les moteurs de recherche internes de sites web légitimes pour afficher de faux numéros de support technique, ciblant des marques majeures comme Apple, Microsoft, Netflix, PayPal, Facebook, HP et Bank of America. Cette attaque repose sur l’injection de contenu dans les paramètres d’URL, trompant ainsi les internautes en les dirigeant vers de véritables sites contenant des informations falsifiées.

Fonctionnement de l’attaque

La technique de « search parameter injection »

Les cybercriminels achètent des publicités via Google Ads, qui apparaissent en tête des résultats lors de recherches telles que « assistance Microsoft » ou « support Netflix 24h/24 ». Ces publicités redirigent vers une URL authentique du site officiel ciblé, mais incluent un paramètre de recherche contenant un faux numéro de téléphone. Le moteur de recherche interne du site traite ce paramètre et l’affiche dans la page de résultats comme si ce contenu provenait du site lui-même.

Une attaque discrète et efficace

L’un des aspects les plus redoutables de cette technique est que le site affiché est véritablement celui de l’entreprise ciblée, avec le nom de domaine officiel et l’interface familière. L’utilisateur n’a donc aucune raison apparente de douter de la légitimité des informations affichées. Le faux numéro, souvent formaté pour paraître professionnel, est directement visible dans la page, parfois mis en évidence dans les résultats de recherche ou dans les zones de réponse automatisée.

Entreprises ciblées

Les analystes ont identifié plusieurs grandes marques affectées par cette manipulation :

Netflix

La page d’aide de Netflix affichait le numéro injecté en haut des résultats, donnant l’impression qu’il s’agissait du numéro officiel de contact.

Apple

Sur le site d’Apple, l’attaque était plus subtile, avec une intégration discrète dans les résultats de recherche internes, rendant la supercherie moins visible à première vue.

Autres entreprises concernées

Microsoft, HP, Facebook, PayPal et Bank of America figurent également parmi les entreprises dont les pages ont été exploitées de cette manière. Dans chaque cas, les attaquants se sont contentés de manipuler les paramètres d’URL, sans compromettre directement les systèmes de l’entreprise.

Objectif des escrocs

Établir un contact téléphonique frauduleux

Une fois l’utilisateur convaincu d’avoir trouvé un numéro de support officiel, il appelle et tombe sur un faux agent du service client. Ce dernier se fait passer pour un représentant légitime de l’entreprise, utilisant parfois des scripts professionnels pour paraître crédible.

Accès aux données ou prise de contrôle

Le faux agent peut alors demander à la victime d’installer un logiciel de prise en main à distance, prétendument pour résoudre un problème technique. Cela donne un accès complet à l’ordinateur ou au smartphone de la victime. Il peut également demander des informations personnelles, des identifiants de compte ou des données bancaires, voire des paiements immédiats pour des services fictifs.

Pourquoi cette arnaque fonctionne-t-elle ?

La confiance dans les marques

Les utilisateurs font naturellement confiance aux grandes marques et à leurs sites web. Lorsque le nom de domaine et le design sont authentiques, peu de gens remettent en question le contenu affiché.

Une page légitime, mais manipulée

Comme il ne s’agit pas de sites frauduleux, mais de pages véritablement hébergées par les entreprises concernées, les mesures de détection classiques (comme les filtres anti-phishing) ne repèrent pas ces attaques. Cela les rend particulièrement difficiles à prévenir.

Risques pour les victimes

Les conséquences de ce type de fraude peuvent être graves. La victime peut perdre l’accès à ses comptes, voir ses données personnelles volées, ou subir des pertes financières directes. Dans certains cas, les escrocs poussent même les utilisateurs à effectuer des virements ou des achats en ligne qu’ils redirigent vers leurs propres comptes.

Comment se protéger ?

Éviter les publicités sponsorisées

Il est préférable de ne pas cliquer sur les annonces Google Ads lorsque l’on recherche un support technique. Mieux vaut se rendre directement sur le site officiel en saisissant l’adresse dans la barre du navigateur ou en utilisant un lien fiable.

Analyser les URL

Avant de faire confiance aux informations affichées, il faut observer attentivement l’URL. Si elle contient des caractères inhabituels, comme des numéros de téléphone, ou des séquences codées (par exemple %2B ou %20), il peut s’agir d’une injection de contenu frauduleux.

Vérifier les numéros de téléphone

Il est recommandé de toujours valider un numéro de téléphone sur une page officielle dédiée, comme la section « Contact » du site, ou à l’aide d’un document ou d’un message antérieur reçu de l’entreprise.

Installer des outils de protection

Des extensions de navigateur comme Malwarebytes Browser Guard peuvent alerter l’utilisateur lorsqu’un contenu suspect est injecté dans un site. Ces outils bloquent aussi les redirections ou scripts malveillants.

Se méfier des demandes inhabituelles

Un véritable support technique ne demandera jamais vos identifiants complets, un paiement immédiat, ou l’installation de logiciels tiers sans vérification. Toute demande de carte cadeau, de crypto-monnaie ou de virement bancaire à titre de « règlement » est un signal d’alerte évident.

Responsabilité des entreprises et des moteurs de recherche

Cette situation montre également la nécessité pour les entreprises d’améliorer la sécurité de leur moteur de recherche interne. Il est important de filtrer ou désactiver les requêtes contenant des numéros de téléphone ou du contenu sensible. Les moteurs de recherche comme Google devraient également renforcer leurs mécanismes de validation des publicités, en exigeant une preuve de lien avec l’entreprise promue.

En résumé

Les attaques par injection de paramètres de recherche représentent une nouvelle forme d’ingénierie sociale qui détourne la confiance naturelle des internautes envers les marques qu’ils connaissent. Même en naviguant sur un site parfaitement légitime, l’utilisateur peut être exposé à un contenu frauduleux. Pour éviter de tomber dans le piège, il convient de rester vigilant, d’analyser chaque page avec esprit critique, et de privilégier les canaux de contact vérifiés. Les entreprises et les plateformes publicitaires doivent quant à elles adapter leurs pratiques pour empêcher que leurs outils soient utilisés à des fins malveillantes.

Source : Malwarebytes Labs - Scammers hijack websites of Bank of America, Netflix, Microsoft, and more to insert fake phone number.

Lire la suite

SparkKitty, un malware voleur

Contexte et origine

SparkKitty semble être l’évolution d’un malware précédent, SparkCat, découvert en janvier 2025 par Kaspersky. SparkCat utilisait la technologie OCR (reconnaissance optique de caractères) pour extraire des phrases de récupération (« seed phrases ») de portefeuilles cryptos à partir de captures d’écran.

Les phrases de récupération permettent à un attaquant de restaurer un wallet sur un autre appareil et donc de dérober des actifs numériques. Bien que déconseillée, la capture d’écran de ces phrases reste une pratique courante de certains utilisateurs.

Cibles et vecteurs d’attaque

Depuis au moins février 2024, la campagne SparkKitty s’est propagée via :

• Applications sur les stores officiels (Google Play, App Store) ;
• Applications tierces détournées, clones malveillants de TikTok, faux stores de crypto, casinos, jeux pour adultes diffusés hors stores officiels.

Deux applications malveillantes identifiées et supprimées :

• 币coin (via l’App Store d’Apple) ;
• SOEX (messagerie + échange crypto) sur Google Play, téléchargée plus de 10 000 fois avant d’être retirée.

Fonctionnement technique

Sur iOS :

• Intégré à des frameworks factices (AFNetworking.framework, libswiftDarwin.dylib) via profils de provisionnement « enterprise ».
• Exécution automatique du code à chaque lancement via la méthode Objective‑C +load.
• Demande d’accès à la galerie, surveillance en temps réel des nouvelles images, puis exfiltration discrètex.

Sur Android :

• Intégré via du code Java/Kotlin ou des modules Xposed/LSPosed.
• Activation au lancement de l’app ou lors d’actions spécifiques. Téléchargement d’un fichier de configuration depuis un serveur C2, décrypté en AES‑256 (mode ECB).
• Exfiltration des images, des métadonnées et identifiants. Certaines variantes utilisent Google ML Kit OCR pour ne cibler que les images contenant du texte (ex. phrases de récupération).

Impact potentiel

Outre le vol de phrases de récupération de portefeuilles crypto, d’autres images sensibles (photos privées, documents) pourraient être exploitées à des fins de chantage ou d’autres formes de fraudex.

Conseils de sécurité

1. Méfiez-vous des applications : surveillez les faux avis, auteurs inconnus, peu de téléchargements mais notes excellentes.
2. Attention aux permissions : refusez l’accès à la galerie ou au stockage si l’app ne présente pas de besoin légitime (ex. photo, documents).
3. Sur iOS : n’acceptez que les profils de configuration ou certificats officiels.
4. Sur Android : activez Google Play Protect et effectuez des analyses régulières.
5. Sécurisez vos phrases de récupération : ne les photographiez jamais ni ne les stockez sur un smartphone. Préférez les supports hors ligne (papier, coffre, stockage chiffré).

Réponse de Google et d’Apple

Selon Google, l’application SOEX a été supprimée et le développeur banni ; tous les utilisateurs de Google Play bénéficient automatiquement d’une protection via Play Protect.

Leçons à retenir

• Les stores officiels ne garantissent pas une sécurité absolue ; le malware peut passer à travers.
• Le ciblage des expressions de récupération crypto représente une menace concrète pour les détenteurs de cryptos.
• Le bon sens, la vigilance sur les permissions et un stockage hors ligne demeurent les meilleures protections.

En résumé

Le malware SparkKitty démontre que les attaques mobiles évoluent et ciblent désormais les phrases de récupération, type de données ultra-sensibles dans l’univers crypto. Il réaffirme que :

• La prudence lors de l’installation d’applications est essentielle ; analysez avis, éditeur, permissions.
• Ne jamais stocker ses phrases de récupération numériquement.
• Activer les protections natives (Play Protect, profils sécurisés sur iOS) et réaliser des scans réguliers.

Protégez vos cryptos comme vos données : la vigilance reste la meilleure défense.

Source : Bleeping Computer - Malware on Google Play, Apple App Store stole your photos—and crypto.

Lire la suite

La fuite de données à 16 milliards d'identifiants. Vraiment ?

La presse s'est empressée de relayer le 20 juin 2025, une information de CyberNews selon laquelle une fuite de données contenant 16 milliards d'identifiants aurait eu lieu ces derniers jours.

Or il n'en est rien. Comme le précise la CNIL sur son site, il s'agit d'une base de données qui comporte 16 milliards d'identifiants, mise en ligne sur le darknet. En revanche, il ne s'agit pas d'une nouvelle fuite de données ou d'une fuite de données récente comme pourrait le laisser entendre la formulation des media mainstreem. Il s'agit en fait du cumul de dizaines voir de centaines de fuites de données de ces dix dernières années qui ont été rassemblées en une seule base. Donc rien de nouveau sous le soleil.

Comme le rappelle la CNIL, cela n'empêche pas d'effectuer une piqure de rappel au niveau de la sécurité des données : nécessité d'utiliser des mots de passe forts et de les changer régulièrement. Sans pour autant surfer sur la vague marketing de la peur pour vendre du clic.

Source : Communiqué de la CNIL - Exposition de 16 milliards d’identifiants et des mots de passe – que faire ?

Lire la suite

Des dépôts Github infectés de trojans

Une vaste campagne malveillante menée via GitHub a été découverte par ReversingLabs. Baptisée “Banana Squad” par les chercheurs de ReversingLabs, cette opération implique 67 dépôts GitHub diffusant des outils Python trojanisés, notamment pour les jeux et le développement, mais infectant en réalité les utilisateurs avec des backdoors.

Contexte et continuité d’anciennes campagnes

Banana Squad s’inscrit dans la continuité d’une campagne découverte en 2023, ciblant le registre PyPI avec des packages Python truqués téléchargés plus de 75 000 fois sur Windows et conçus pour voler des données sensibles.

Auparavant, en novembre 2024, le SANS Internet Storm Center a signalé un dépôt GitHub prétendant offrir un outil « steam‑account‑checker » ; celui-ci téléchargeait discrètement un payload camouflé, compromettant le portefeuille Exodus et transmettant les données vers dieserbenni[.]ru.

Méthodes d’attaque et dissimulation

Les dépôts trojanisés sont des copies nominales de véritables projets open-source de Python, hébergeant des milliers de scripts injectés de backdoors. Pour masquer le code malveillant, les attaquants utilisent :

• Longues lignes de code dissimulées hors écran via l’interface de GitHub (pas de retour à la ligne automatique).
• Chiffrement et encodage du code malveillant (Base64, hexadécimal, Fernet).
• Repos souvent hébergés sur des comptes GitHub n’ayant qu’un seul dépôt, dépourvus d’historique ou d’activité, ce qui indique une création fictive.
• Détails trompeurs dans la description contenant des mots-clés populaires et emojis (flammes, fusées) pour attirer les recherches via AI.

Cibles de la campagne

Les dépôts visent particulièrement :

• Des outils de nettoyage de compte Discord, Fortnite cheats, vérificateurs de noms TikTok, vérificateurs PayPal en masse, etc.

Ces outils ciblent les joueurs et les développeurs à la recherche de scripts “hacking” ou de triches faciles.

Techniques de distribution et infrastructure

Les charges utiles trojanisées utilisent des URL vers des domaines contrôlés par les pirates, comme dieserbenni[.]ru et 1312services[.]ru. Les scripts Python eux-mêmes contiennent du code pour télécharger les backdoors à partir de ces infrastructures hostiles.

Un autre rapport de Trend Micro sur la campagne Water Curse (18 juin 2025) a révélé l’existence de 76 comptes GitHub diffusant des malwares en multi‑étapes via phishing repos, VBS/PowerShell, info‑stealers, etc.

De même, Check Point a identifié le réseau Stargazers Ghost Network, avec près de 3 000 comptes fantômes, offrant un service de distribution de malware à grande échelle via faux likes, forks, “stars”, etc.

Impact potentiel et victimes

Ces backdoors Python ciblent Windows et visent à :

• Faire des reconnaissances système
• Désactiver la défense système
• Stéaler des identifiants, tokens de session, données de navigateurs, de portefeuilles crypto, etc.

Le nombre exact de victimes est inconnu, mais il est probable que de nombreux développeurs ou gamers aient installé ces outils sans se méfier, intégrant ainsi du code malveillant dans leurs machines ou projets.

Réponse et recommandations

Voici les conseils essentiels issus des analyses :

• Vérification systématique : Confirmer que le dépôt provient bien d’un compte légitime, avec historique et activité cohérente.
• Analyse de différences : Utiliser des outils comme Spectra Assure/Analyze pour comparer les versions suspectes avec des EPURÉES.
• Inspection du code caché : Passer en mode d’affichage hexadécimal ou forensique pour repérer les longues lignes malveillantes hors écran.
• Surveillance des infrastructures : Vérifier les domaines connus (dieserbenni.ru, 1312services.ru) dans la chaîne de distribution.
• Scepticisme face à l’apparence trompeuse : Les packs visent à paraître populaires et légitimes mais peuvent être vides ou échafaudés pour tromper.

Contexte plus large des attaques par supply chain logicielle

GitHub, comme d’autres écosystèmes (npm, PyPI), est devenu une cible majeure pour l’injection de malwares dans la supply chain logicielle :

• Récentes campagnes, comme Water Curse et Stargazers Ghost Netzwerk, utilisent des milliers de comptes pour promouvoir des dépôts malveillants.
• Les raisonneurs de packages légitimes diminuent, mais les tentatives de contrefaçon, typo‑squatting et obfuscation augmentent.
• Des études universitaires sur les « stars falsifiées » et les failles invisibles (‘Trojan Source’) confirment que ces attaques se déploient à large échelle sur GitHub et affectent même l’entraînement des IA et des LLM.

En résumé

La campagne Banana Squad démontre l’évolution de la menace : des malwares visant non plus les registres de packages (npm, PyPI) mais la plateforme GitHub elle‑même, via des dépôts trojanisés. L’attaque cherche à tromper les utilisateurs avec des outils qui semblent familiers et populaires, mais qui cachent des backdoors sophistiquées.

Face à cette menace croissante, les développeurs doivent :

• Toujours vérifier l’authenticité d’un dépôt avant de l’utiliser
• Faire des revues de code complètes, utiliser des outils de diff et d’analyse statique
• Contrôler les flux réseau des scripts importés
• Suivre les recommandations de sécurité et rester informés des domaines malveillants

En fin de compte, la confiance excessive dans les plateformes open-source sans vérification expose à des attaques de la chaîne d’approvisionnement logicielle, qui peuvent provoquer des vols de données, l’installation de logiciels espions ou la compromission complète des systèmes.

Source : The Hacker News - 200+ Trojanized GitHub Repositories Found in Campaign Targeting Gamers and Developers.

Lire la suite

Le nouveau malware Android Antidot

Aperçu du malware « Antidot »

Le rapport « Overview » publié par Prodaft décrit en détail une nouvelle famille avancée de malwares Android nommée Antidot, orchestrée au sein d’une plateforme de type Malware-as-a-Service (MaaS), dominée par l’acteur identifié sous le nom LARVA-398. L’étude révèle que plus de 3 775 terminaux ont été compromis dans le cadre de 273 campagnes distinctes, destinées à un large éventail de cibles en Europe, en Asie et ailleurs.

Architecture et modus operandi

Antidot propose une triple capacité redoutable :

• enregistrement à l’écran via les services d’accessibilité Android ;
• interception des SMS ;
• extraction de données sensibles dans des applications tierces (services bancaires, crypto-wallets, etc.).

Ces fonctionnalités, couplées à une large distribution via des campagnes de phishing ciblé et des réseaux publicitaires malveillants, positionnent Antidot comme un outil sophistiqué de collecte massive d’informations.

Dangers liés aux services d’accessibilité

En tirant parti des services d’accessibilité d’Android, le malware obtient des privilèges étendus, souvent sans que l’utilisateur ne soit pleinement conscient des permissions accordées. Cette escalade de privilèges permet à Antidot de fonctionner en arrière-plan, de surveiller les activités et de voler les données sans alerter l’utilisateur.

Modèle économique et ciblage géographique

En tant que MaaS, Antidot est proposé à des acteurs souhaitant diffuser des campagnes ciblées. Les campagnes identifiées s’adressaient à des victimes localisées selon la langue et la géolocalisation, montrant une dimension stratégique dans la sélection des cibles.

Limites des défenses traditionnelles

Les chercheurs soulignent une limite majeure des protections Android : les mises à jour de sécurité sont fragmentées selon les fabricants et opérateurs, ce qui crée des fenêtres d’exposition pouvant durer plusieurs mois. En conséquence, protéger le système uniquement par des correctifs s’avère insuffisant face à des menaces comme Antidot.

Ressurgence du malware Android : AntiDot, GodFather & SuperCard X

Un article récent de The Hacker News met en lumière deux menaces actuellement actives : la progression explosive d’AntiDot et le malware baptisé GodFather, ainsi que l’apparition d’un nouveau vecteur nommé SuperCard X pour les attaques NFC.

AntiDot : extension des capacités et escalade

Confirmant les données de Prodaft, l’article précise qu’AntiDot est actif sur 3 775 appareils via 273 campagnes différentes, distribué en tant que MaaS par LARVA-398. Il concrétise sa dangerosité avec l’exploitation des services d’accessibilité, la surveillance SMS et la capture d’écran.

GodFather : vol de données bancaires et crédentiels de verrouillage

Contrairement à AntiDot, GodFather s’en prend directement aux institutions financières, notamment en Turquie. Il utilise des fonctionnalités de virtualisation pour subtiliser :

• les identifiants de verrouillage (schéma, PIN ou mot de passe) ;
• informations bancaires sensibles en profitant de surcouches applicatives intégrées dans les apps financières.

L’exfiltration de données bancaires devient encore plus critique, car l’accès physique à l’appareil n’est plus nécessaire pour compromettre le compte financier.

SuperCard X : détournement via NFC

SuperCard X est un malware de type relais NFC, dérivé de l’outil légitime NFCGate. Il permet d’intercepter les communications NFC destinées à des cartes bancaires, puis de les reproduire depuis un appareil contrôlé par l’attaquant afin de mener des transactions frauduleuses. D’abord détecté en Italie, il ciblait ensuite des institutions financières en Europe, aux États-Unis et en Australie.

Modes de distribution et méthodes de social engineering

Les infections sont initiées via du smishing : l’utilisateur reçoit un message incitant à installer une APK malveillante déguisée en application utile. Dans certains cas, des apps malveillantes sont hébergées sur le Play Store ou l’App Store, comme RapiPlata, un SpyLoan ciblant des utilisateurs colombiens avec 150 000 téléchargements, capable de voler SMS, journaux d’appels, calendriers, applications installées, et même des phrases mnémoniques de porte-monnaie crypto.

Dangers accrus et tendances émergentes

Multiplication des vecteurs d'attaque

Batting sur plusieurs fronts, ces malwares Android opèrent via :

• services d’accessibilité Android (Antidot, GodFather) ;
• relai NFC (SuperCard X), un vecteur inédit pour le grand public ;
• applications discrètes dans les stores officiels (SpyLoan).

Cette convergence technologique rend la menace plus complexe et difficile à surveiller.

Malware-as-a-Service (MaaS)

Antidot et GodFather étant proposés en tant que MaaS, cela abaisse les barrières techniques pour les cybercriminels. Cette généralisation d’un modèle à la Uber multiplie le nombre d’acteurs semi-professionnels capables de déployer des campagnes ciblées.

Escalade de privilèges et furtivité

Le recours aux services d’accessibilité, aux seize captages d’écran, aux interceptions SMS, au phishing NFC et à l’ingénierie sociale permet aux malwares d’opérer discrètement, sans alerter les utilisateurs ou systèmes de protection active.

Impact mondial

Les campagnes visent un public international : Europe (Turquie, Italie, Colombie), Amériques, Océanie. La diversité des cibles financières et bancaires montre l’atteinte d’un niveau de sophistication industriel, exploitant des niches spécifiques comme la crypto, la finance et le mobile banking.

Recommandations et stratégies de défense

Sensibilisation et vigilance utilisateur

Les utilisateurs doivent être formés pour reconnaître les messages frauduleux (smishing) et comprendre les risques liés à l’installation d’applications hors des stores officiels. Toute demande de permissions étendues ou de bypass doit être considérée avec suspicion.

Renforcement des politiques de sécurité Android

Les organisations doivent :

• restreindre l’accès aux services d’accessibilité Android aux seules applications légitimes ;
• bloquer le sideloading d’APK quand cela est possible ;
• mettre en place des solutions de Mobile Threat Defense (MTD) sur les terminaux.

De plus, l’intervention proactive sur les systèmes fragmentés est essentielle pour combler les lacunes mises en lumière par Prodaft.

Détection comportementale et réponse aux incidents

Mettre en place une surveillance active des comportements suspects (captures d’écran, lecture SMS, transactions NFC), détecter les signaux faibles via l’analyse des logs et déployer des réponses rapides (isolation de l’appareil, analyse forensic).

Collaboration internationale

La nature transversale des attaques sur des utilisateurs situés dans plusieurs pays invite à une collaboration renforcée entre les institutions de sécurité, les forces de l’ordre et les fournisseurs de mobilité pour partager les indicateurs de compromission (IoC) et démanteler les infrastructures malveillantes.

En résumé

La combinaison révélée par Prodaft et The Hacker News montre que les malwares Android comme Antidot, GodFather et SuperCard X représentent une menace nouvelle : avancée, multiforme et difficile à détecter. Ils s’appuient sur des techniques de pointe (services d’accessibilité, NFC, virtualisation, phishing), sont revendus sous forme de services, et touchent des secteurs critiques (banque, finance, crypto).

Pour y répondre de manière efficace, il ne suffit plus de patcher les systèmes ou d’installer un antivirus. La stratégie doit être holistique : sensibilisation humaine, contrôle des permissions, détection comportementale, interdiction du sideloading, et coordination internationale. Cette vision globale est indispensable pour anticiper, détecter et neutraliser les menaces mobiles qui prolifèrent aujourd’hui.

Sources :
The Hacker News - New Android Malware Surge Hits Devices via Overlays, Virtualization Fraud and NFC Theft.
Rapport Prodaft - Antidot.

Lire la suite