Ce redoutable malware Android espionne tout ce que vous tapez, même votre code PIN
Un logiciel malveillant baptisé RatHat s’attaque en ce moment aux smartphones Android. Le programme se déguise en application connue pour obtenir des autorisations sensibles. Ensuite, il enregistre chaque frappe et chaque geste réalisé sur l’écran.
Sur Android, les logiciels malveillants gagnent en sophistication chaque année. Leurs auteurs ne cherchent plus seulement à dérober quelques mots de passe. Ils veulent surtout un contrôle durable sur l’appareil, sans éveiller le moindre soupçon. Cet été, le malware RedHook s’octroyait déjà des privilèges normalement réservés au système. Désormais, les protections intégrées au téléphone montrent leurs limites face à ce niveau de préparation.
Tout démarre presque toujours par un simple message. Des pirates envoient un SMS piégé ou achètent des publicités renvoyant vers de fausses pages de téléchargement. Google prépare justement une parade contre les faux relais mobiles utilisés pour diffuser ces textos frauduleux. En attendant, des chercheurs viennent de documenter une souche particulièrement redoutable, repérée sur des portails imitant la boutique officielle d’Android. Son mode opératoire sort complètement de l’ordinaire.
RatHat reconstitue les codes de déverrouillage en analysant chaque contact du doigt sur l’écran
Baptisé RatHat, ce logiciel a été décortiqué par les chercheurs de Zimperium. Le fichier installé se fait passer pour Google Chrome ou pour un service de streaming connu. Dès l’obtention de l’autorisation d’accessibilité, il active seul les options développeur et le débogage sans fil d’Android, puis se connecte à l’appareil comme le ferait un ordinateur branché en USB. Il obtient alors des droits normalement refusés à toute application. Pour naviguer dans les menus en temps réel, il s’appuie même sur une intelligence artificielle grand public.
Une fois installé, RatHat enregistre les coordonnées brutes de chaque contact du doigt sur la dalle. En comparant ces points avec les dispositions de clavier des grandes marques, il retrouve le code PIN ou le schéma de déverrouillage, même lorsque l’écran masque les chiffres saisis. Il pose aussi de faux formulaires par-dessus les applications bancaires et intercepte les codes de validation reçus par SMS. Sa suppression relève du casse-tête. Un service dissimulé continue de tourner en dehors de l’appli principale et la réinstalle dès sa disparition. Pour repartir sur des bases saines, une remise à zéro complète du téléphone reste la seule issue vraiment fiable.
