Des pirates informatiques utilisent une fausse boutique Google Play pour miner des cryptomonnaies et voler des fonds

Traders Union
Toutes les actualités
Cryptomonnaies
Les pirates utilisent un faux Google Play

Toutes les actualités

À la une

Sélection de la rédaction

Cryptomonnaies

Actualités financières

Devises

Voix du marché

Régulateurs

Banques centrales

Sergey Shendetskyi

22.03.2026

Des pirates informatiques utilisent une fausse boutique Google Play pour miner des cryptomonnaies et voler des fonds — Les utilisateurs d'Android ciblés par de fausses applications

Une nouvelle campagne malveillante ciblant les utilisateurs d'Android a été détectée au Brésil. Les attaquants déguisent des pages de phishing en Google Play Store officiel et distribuent des applications qui, une fois installées, sont utilisées pour le minage clandestin de crypto-monnaie et le vol de fonds.

Cet article a été traduit de l'original. Lisez la version originale de notre correspondant ici.

Selon Cryptopolitan, l'attaque combine l'ingénierie sociale avec des méthodes techniquement sophistiquées, ce qui la rend difficile à détecter même pour les utilisateurs expérimentés.

Comment l'attaque fonctionne-t-elle ?

Comme le note SecureList, la campagne commence par un site de phishing qui imite fidèlement l'interface de Google Play. Les utilisateurs sont invités à télécharger une application appelée INSS Reembolso, prétendument liée au système de sécurité sociale brésilien.

Une fois installé, le logiciel malveillant se déploie par étapes : il télécharge d'abord des composants chiffrés, puis exécute la charge utile principale directement dans la mémoire de l'appareil. Cette approche ne laisse aucun fichier visible, ce qui permet de dissimuler l'activité à l'utilisateur.

Le logiciel malveillant vérifie également s'il s'exécute dans un environnement émulé et s'arrête si une analyse est détectée. Une fois que l'appareil est considéré comme "sûr", il charge des modules supplémentaires, notamment un mineur basé sur XMRig et adapté aux appareils ARM. Celui-ci connecte le smartphone à l'infrastructure contrôlée par l'attaquant et extrait de la crypto-monnaie en arrière-plan.

Pour ne pas être détecté, le programme surveille les conditions de l'appareil, telles que le niveau de la batterie, la température et l'activité de l'utilisateur, et n'active le minage que dans des conditions appropriées. Il contourne également les restrictions d'Android en jouant un fichier audio presque inaudible pour simuler l'activité de l'application.

Vol et accès à distance

Les capacités du logiciel malveillant ne se limitent pas à l'exploitation minière. Dans certains cas, il installe un cheval de Troie bancaire ciblant les utilisateurs de Binance et de Trust Wallet, en particulier lors des transactions en USDT.

Le logiciel malveillant superpose de fausses interfaces aux applications légitimes et remplace silencieusement les adresses des portefeuilles. Les fonds sont ainsi redirigés sans que l'utilisateur s'en aperçoive.

En outre, les appareils infectés peuvent être utilisés pour enregistrer du son, faire des captures d'écran, envoyer des SMS et enregistrer l'activité de l'utilisateur. Le commandement et le contrôle sont assurés par Firebase Cloud Messaging - un service légitime de Google - ce qui rend la détection plus difficile.

Certaines variantes déploient également BTMOB, un outil d'accès à distance distribué dans le cadre d'un modèle de logiciel malveillant en tant que service. Il permet aux attaquants de contrôler entièrement l'appareil, y compris l'accès à la caméra, au GPS et aux informations d'identification.

L'importance pour le marché

L'affaire brésilienne met en évidence l'évolution des menaces qui pèsent sur le secteur de la cryptographie. Alors que les risques antérieurs étaient principalement liés à des exploits de protocole, les attaquants ciblent désormais de plus en plus les utilisateurs par le biais de l'hameçonnage, de fausses interfaces et de l'ingénierie sociale.

Ces méthodes sont de plus en plus répandues. Les outils MaaS tels que BTMOB abaissent la barrière à l'entrée, ce qui accélère la propagation des attaques. Par conséquent, même l'utilisation de plateformes de confiance ne garantit pas la sécurité.

Pour les entreprises, cela signifie qu'il faut investir non seulement dans la sécurité de l'infrastructure, mais aussi dans la protection des interactions avec les utilisateurs, qu'il s'agisse d'avertissements ou de surveillance des faux domaines. Binance et Google intensifient déjà leurs efforts en ce sens, mais les attaquants continuent de s'adapter rapidement.

Pour les utilisateurs, la conclusion est claire : il est essentiel de vérifier les sources et d'éviter les liens tiers. Alors que le phishing prend de l'ampleur, la vigilance devient la première ligne de défense.

Dans le même temps, les risques s'étendent à tous les écosystèmes. Google a récemment identifié des vulnérabilités iOS ciblant les phrases de semence des portefeuilles de crypto-monnaie. Les chercheurs du Google Threat Intelligence Group ont découvert une trousse à outils appelée Coruna, conçue pour compromettre les iPhones fonctionnant sous les versions iOS 13.0 à 17.2.1. Cela confirme que les attaques deviennent multiplateformes et affectent les utilisateurs quel que soit le système qu'ils utilisent.

Ce matériel peut contenir des opinions de tiers, aucune des données et informations sur cette page web ne constitue un conseil en investissement selon notre Avertissement. Bien que nous respections une stricte Intégrité Éditoriale, ce post peut contenir des références à des produits de nos partenaires.

Cet article vous a plu ?