// CLUBIC — MOBILE & WEB
Cette publicité pour du streaming gratuit peut donner aux hackers le contrôle de votre smartphone
Une fausse application de streaming gratuit circule depuis juin sur les réseaux sociaux. Une fois qu’une victime l’a installée sur son smartphone Android, elle obtient un accès quasi total à l’appareil. Ils lisent l’écran et enregistrent les frappes, avant de pouvoir en prendre le contrôle à distance.
L’application, que l’on trouve tantôt en cherchant StrεαmTV Pro, tantôt Sistema, promet un accès gratuit à des chaînes de télévision. Mais les chercheurs de la société de sécurité ThreatFabric, qui ont analysé son fonctionnement fin juillet, l’appellent StreamRat. Attention, rien à voir avec l’offre RAT+ de Canal+ !
Entre le 11 juin et le 3 juillet, les cybercriminels ont diffusé ces publicités sur Facebook, Instagram et TikTok. Seules les instructions d'installation changeaient, en fonction de l’origine du clic. 571 000 comptes Meta de l’Union européenne, en majorité espagnols, ont vu ces publicités au moins une fois. Sur ce site, les cybercriminels ne laissent accéder à la suite que les visiteurs équipés d’un smartphone Android.
À ceux-là, les cybercriminels proposent le téléchargement d’un premier programme hébergé sur un dépôt GitHub. Dans le jargon de la sécurité informatique, ce type de programme s’appelle un dropper ; il porte le nom de fichier app.apk. Pour l’installer, la victime doit d’abord accepter d’en faire l’application d’accueil par défaut, puis d’établir une connexion VPN. Elle doit aussi autoriser l’installation d’applications venues de sources extérieures au Play Store.
Cette connexion VPN est inutile pour la victime. Volontairement inopérante, elle bloque une bonne partie du trafic du téléphone et empêche au passage les vérifications de Google Play Protect. On retrouve d’ailleurs cette technique chez ToxicPanda 2.0, qui détourne lui aussi une autorisation VPN authentique pour neutraliser Google Play Protect avant de siphonner des identifiants dans 349 applications financières de seize pays.
Une fois StreamRat en place, la victime doit accorder le service d’accessibilité d’Android, conçu à l’origine pour les personnes en situation de handicap. Avec cet accès, les opérateurs du logiciel lisent le contenu affiché à l’écran et enregistrent chaque frappe. Ils superposent aussi de faux écrans de connexion par-dessus les applications bancaires légitimes, et peuvent recouvrir l'écran d'un fond noir ou d’une fausse mise à jour Android le temps d’agir sans être vus, avant de prendre la main à distance par VNC, avec une variante cachée appelée HVNC.
Les opérateurs de StreamRat reçoivent ensuite, à chaque connexion, l’identifiant et le modèle du téléphone infecté, par un protocole propriétaire relié aux adresses 193.32.2.245 et 45.147.28.59. ThreatFabric a identifié deux versions du programme sous les noms de paquets io.base.one887 et io.meat.hint, affichées sous les appellations StrεαmTV Pro et Sistema de vídeo.
L’essentiel de l’audience de StreamRat se trouvait en Espagne.
Mais trois semaines plus tard, d’autres cybercriminels diffusaient sur Meta des publicités destinées aux utilisateurs francophones, hispanophones, lusophones et sinophones, avec de fausses promesses d’accès Premium gratuit à TradingView. À partir du 22 juillet, ils ont distribué Brokewell, capable d’intercepter les codes de vérification par SMS et de collecter des portefeuilles de cryptomonnaies. Au moins soixante-quinze publicités frauduleuses ont été recensées sur Meta ; elles ont été vues par plusieurs dizaines de milliers de comptes européens.
Le choix de l’appât se répète, puisqu’en 2025, les cybercriminels derrière Klopatra promettaient, eux aussi, un accès gratuit à des chaînes de télévision par Internet, via une fausse application appelée Mobdro Pro IP TV. Klopatra avait alors touché environ 3 000 téléphones en Espagne et en Italie.