Une version améliorée du cheval de Troie RedHook exploite l'ADB sans fil pour prendre le contrôle total des smartphones Android et vider les comptes bancaires de ses victimes, révèlent des chercheurs en cybersécurité.

En bref

  • RedHook détourne l’ADB sans fil pour obtenir un accès complet au téléphone
  • Le logiciel malveillant intègre un mécanisme de résurrection difficile à stopper
  • Après le Vietnam, l’Indonésie est désormais également ciblée

Un accès total au téléphone via une fonctionnalité de développeur

Le point d’entrée de RedHook n’a rien de sophistiqué en apparence : tout commence par un simple lien, reçu par SMS, appel, e-mail ou message sur les réseaux sociaux. Les assaillants se font passer pour des agents de support ou des employés d’organisations connues afin de gagner la confiance de leur cible, selon les informations rapportées par la société de cybersécurité Group-IB et relayées par Bleeping Computer.

La victime est ensuite orientée vers un faux site, souvent conçu pour ressembler au Google Play Store, où elle est invitée à installer un fichier APK. Une fois l’application posée sur l’appareil, elle réclame les autorisations d’accessibilité, présentées comme indispensables à son bon fonctionnement.

redhook-le-logiciel-espion-android-qui-r

Le rôle clé de l’ADB sans fil

C’est là que le piège se referme. Grâce à ces autorisations, le logiciel active discrètement l’ADB (Android Debug Bridge) sans fil, un outil normalement réservé aux développeurs, en se rendant seul dans les options développeur du téléphone. Il obtient ainsi un accès shell avec l’identifiant système UID 2000, ce qui lui donne un contrôle quasi total de l’appareil : lecture des frappes clavier, déverrouillage de l’écran et diffusion en direct de ce qui s’affiche.

Une version bien plus résistante que l’originale

RedHook n’est pas une nouveauté absolue. Des chercheurs de Cyble avaient déjà identifié une première mouture de ce cheval de Troie l’année précédente. Mais la version actuelle, documentée par Group-IB, s’avère nettement plus coriace à éliminer.

Pour rester actif en permanence, le programme utilise un WakeLock, une technique qui empêche le système d’exploitation de le mettre en veille. Il va plus loin en maintenant l’écran allumé grâce à un pixel unique, invisible à l’œil nu, faisant croire à Android qu’un processus essentiel est en cours et ne doit surtout pas être interrompu.

Le mécanisme de « résurrection » qui complique sa suppression

  • Deux services distincts fonctionnent en parallèle et se surveillent mutuellement
  • Si l’un des deux est stoppé, l’autre le relance immédiatement
  • Group-IB qualifie ce procédé de mécanisme de résurrection croisée entre deux processus

Ce fonctionnement en tandem rend la neutralisation du logiciel particulièrement délicate, même pour un utilisateur averti qui tenterait de forcer sa fermeture manuellement.

Une menace qui déborde déjà du Vietnam

Les premières campagnes recensées visaient principalement des utilisateurs au Vietnam. Mais les chercheurs constatent désormais une extension géographique, avec des signes d’activité en Indonésie. Rien n’indique pour l’instant une propagation vers l’Europe, mais ce type de logiciel malveillant, une fois son mode opératoire éprouvé, tend souvent à s’exporter vers d’autres marchés.

Pour limiter les risques, quelques réflexes simples restent les plus efficaces : privilégier exclusivement le Google Play Store pour installer des applications, se montrer particulièrement méfiant face à toute demande d’autorisation d’accessibilité, et éviter d’installer un fichier APK reçu via un lien externe, quelle que soit la plateforme utilisée pour le transmettre.

Du côté de Google, une piste de correction se dessine. Le mode Protection avancée pourrait à terme désactiver l’accès aux options développeur, fermant ainsi la porte utilisée par RedHook pour activer l’ADB sans fil. Cette fonctionnalité n’est cependant pas encore déployée officiellement sur Android.

Rester vigilant en attendant les correctifs

En l’absence de protection systémique généralisée, la meilleure défense demeure la prudence face aux liens suspects reçus par SMS, e-mail ou réseaux sociaux. RedHook illustre une tendance de fond : les outils légitimes destinés aux développeurs deviennent des cibles de choix pour les cybercriminels. Sa progression en Asie du Sud-Est invite à surveiller son évolution de près, y compris en dehors de la région.