Des applications Android trompeuses exploitent Google Play Early Access pour masquer les avertissements des utilisateurs

Des milliers d’applications Android trompeuses détournent le programme Early Access de Google Play pour attirer des installations sans exposer les utilisateurs aux avis publics ni aux notes attribuées par étoiles. Signalée le 10 septembre 2026, cette campagne repose sur des publicités trompeuses diffusées sur les réseaux sociaux, de fausses récompenses et, dans certains cas, des témoignages de célébrités générés par IA.

Les chercheurs de Bitdefender ont constaté que ces applications se comportaient généralement davantage comme des pièges publicitaires que comme des malwares conventionnels. Elles promettent des sommes d’argent, des virements PayPal, des cryptomonnaies, des cartes-cadeaux, des gains de casino ou du contenu premium, mais maintiennent les utilisateurs devant des publicités au lieu de leur fournir les avantages annoncés.

L’ampleur de la campagne est considérable. Certaines fiches ont cumulé des milliers d’installations, tandis qu’un imitateur de Grand Theft Auto aurait dépassé le million de téléchargements avant de disparaître de Google Play.

Early Access supprime un indicateur de réputation essentiel

Google Play Early Access est destiné aux applications qui ne sont pas encore officiellement lancées et que les développeurs souhaitent faire tester avant leur mise à disposition complète. Les testeurs peuvent envoyer directement leurs commentaires aux développeurs, mais ils ne peuvent pas publier les avis, les notes ou les avertissements accessibles sur les fiches classiques de la marketplace.

Les développeurs malveillants transforment cette restriction en avantage.

Une application frauduleuse ou trompeuse peut accumuler les installations sans afficher les retours négatifs qui auraient normalement alerté les utilisateurs potentiels. L’absence d’avis ne signifie pas que personne n’a rencontré de problème. Dans le cadre d’Early Access, elle est la conséquence du fonctionnement même du programme.

Bitdefender a identifié un grand nombre de fiches suspectes dans plusieurs catégories, notamment les jeux de casino, les applications proposant des récompenses financières, les jeux grand public, les lecteurs PDF, les scanners de codes QR, les applications de suivi de téléphone et les utilitaires généralistes. Certaines utilisent des marques connues ou imitent des jeux commerciaux établis.

Cette technique complique également les vérifications élémentaires que les consommateurs peuvent effectuer. Un utilisateur qui suit une publicité vers Google Play peut tomber sur une page ressemblant à une fiche officielle de la marketplace, sans pouvoir consulter les retours d’autres utilisateurs avant d’installer le logiciel.

Aucune version particulière du système d’exploitation Android n’a été identifiée comme vulnérable. Il ne s’agit pas d’une faille du code d’Android liée à une version donnée, mais d’un détournement d’une fonctionnalité de distribution de Google Play. Aucun CVE, score CVSS ni référencement dans la liste CISA Known Exploited Vulnerabilities ne s’applique à l’activité signalée.

Les publicités diffusées sur les réseaux sociaux alimentent une boucle de revenus publicitaires

Les campagnes commencent en dehors de Google Play. Les opérateurs achètent ou diffusent des publicités sur TikTok, Facebook et d’autres réseaux sociaux, en promettant des récompenses financières faciles afin d’orienter les utilisateurs vers des fiches Early Access.

Parmi les offres courantes figurent des paiements PayPal, des gains en cryptomonnaies, des cartes-cadeaux, des tours gratuits au casino et des jackpots. Certaines promotions mettent en scène des vidéos synthétiques d’athlètes, d’acteurs ou d’autres personnalités publiques. Ces deepfakes donnent l’impression d’un soutien que la célébrité concernée n’a jamais accordé.

D’autres publicités montrent des utilisateurs apparemment ordinaires affirmant avoir gagné de l’argent. La technique de persuasion reste la même : présenter l’application comme un moyen simple d’obtenir une récompense concrète.

Une fois installée, l’application peut attribuer d’importantes quantités de monnaie virtuelle dans les premières étapes. Lorsque le solde affiché approche du seuil minimal de retrait, la progression ralentit brutalement, de nouvelles conditions apparaissent ou la fonction de retrait échoue.

Les publicités continuent d’être diffusées tout au long du processus. Chaque session supplémentaire, changement d’écran ou tentative d’obtenir une récompense crée une nouvelle occasion d’afficher des annonces et de générer des revenus pour l’opérateur.

L’attention de l’utilisateur est l’actif monétisé. Aucun paiement effectif n’est confirmé.

Les plateformes sociales peuvent supprimer certaines promotions, mais l’infrastructure est facile à recréer. Les développeurs peuvent publier une nouvelle fiche, modifier un titre ou lancer de nouveaux contenus publicitaires pour toucher un autre public.

Les applications de casino dissimulent leur objectif pour contourner les contrôles

Les applications sur le thème du casino constituent une part importante de l’opération. Les produits de jeux d’argent légitimes peuvent être soumis à des règles de licence, à des restrictions géographiques, à une vérification de l’âge et à d’autres contrôles réglementaires, selon les territoires où ils sont proposés.

Les fiches trompeuses tentent de contourner ces barrières en se présentant comme de simples jeux de réflexion, des jeux de machines à sous grand public ou des utilitaires sans rapport. Certaines redirigent les utilisateurs vers une application Early Access, tandis que d’autres les envoient vers un site de jeux d’argent externe.

Ces applications de casino dites fantômes ne proposent pas nécessairement de véritables jeux d’argent. Certaines servent principalement à diffuser des publicités, tandis que d’autres utilisent des images de casino et des gains promis pour maintenir l’utilisateur engagé.

Deux thèmes reviennent régulièrement : « Chicken Road », qui met en scène un poulet animé traversant un parcours dangereux, et « Ice Fishing », présenté comme un jeu de casino avec croupier en direct au rythme soutenu. Des variantes de ces deux noms sont également apparues.

Les implications réglementaires dépendent de ce que propose réellement chaque application et de l’endroit où elle est distribuée. Les éléments disponibles n’établissent pas que toutes les applications recensées proposent des jeux d’argent avec mise réelle ni que leurs opérateurs ont commis une infraction pénale précise. Ils documentent toutefois une présentation trompeuse et des tentatives d’attirer les utilisateurs avec des avantages qui ne sont pas fournis.

L’indexation dans les moteurs de recherche et l’usurpation de marques donnent aux fiches une apparence légitime

Certains éditeurs exploitent les modifications apportées aux métadonnées d’une application après son apparition dans les résultats de Google Search. Une application peut d’abord apparaître sous un nom reconnaissable comme « Grand Theft Auto V (Early Access) », gagner en visibilité dans les recherches, puis être renommée.

Son nouveau titre, ses captures d’écran et les fonctionnalités annoncées peuvent n’avoir que peu de rapport avec le logiciel effectivement reçu par les utilisateurs. Les chercheurs ont également découvert des captures d’écran qui semblaient avoir été générées par IA plutôt que prises pendant une véritable session de jeu.

Un imitateur particulièrement visible s’appelait « Vice Streets: Open World ». Son identifiant de package Android était :

com.gamblechaos.withfriends.game

L’application aurait dépassé le million de téléchargements et ne comportait aucun avis ni aucune note publique. Elle n’est plus disponible sur Google Play, sans que l’on sache si Google l’a supprimée ou si l’éditeur l’a retirée. Les informations publiées sur sa distribution et son statut dans la marketplace n’établissent pas que l’application contenait un malware.

La réutilisation de marques connues permet aux fiches trompeuses d’emprunter leur crédibilité à des enseignes établies. Parallèlement, le label Early Access explique l’absence de retours de la communauté, ce qui permet à la fiche de paraître simplement inachevée plutôt que potentiellement trompeuse.

Google n’a pas annoncé de mesure corrective spécifique concernant les campagnes identifiées. Aucune action de la part des autorités n’a non plus été confirmée au-delà de la disparition de certaines fiches.

Les applications sont trompeuses, mais ne sont pas considérées comme des malwares

Les applications Early Access observées ne doivent pas être confondues avec les chevaux de Troie d’accès à distance Android, les malwares bancaires ou les ransomwares. Les chercheurs n’ont pas confirmé de vol d’identifiants, d’exfiltration de données, de prise de contrôle d’appareil ou de comportement destructeur dans le cadre de cette opération précise.

Les travaux de Bitdefender pointent plutôt vers une fraude publicitaire à grande échelle et une monétisation trompeuse. Les chercheurs ont décrit l’absence de système public d’avis comme la disparition d’un moyen de protection majeur pour les utilisateurs face aux logiciels suspects.

Les autres menaces Android mentionnées parallèlement à cette étude, notamment Hagaseca, Mantax Otax, StreamRat et la campagne Gigabud de GoldFactory, relèvent d’opérations distinctes. Aucun lien technique établi ne relie ces familles de malwares aux applications Early Access.

Cette distinction est importante pour les équipes de défense. Supprimer une application de récompenses saturée de publicités permet de résoudre la nuisance immédiate, mais des indicateurs tels que l’activation non autorisée de l’Accessibility Service, l’utilisation inattendue de MediaProjection, la présence inexpliquée de profils professionnels ou le contrôle à distance de l’écran suggèrent une compromission différente et plus grave.

L’activité liée à Early Access cause néanmoins des dommages réels. Les utilisateurs peuvent perdre du temps, consommer leurs données mobiles, être exposés à des services de jeux d’argent non réglementés ou prendre des décisions sur la base de recommandations fabriquées. La multiplication de fiches trompeuses fragilise également la confiance dans les mécanismes de contrôle de la marketplace Google Play.

Comment les utilisateurs et les organisations peuvent réduire leur exposition

Les utilisateurs doivent considérer comme non fiables, jusqu’à vérification indépendante, les applications Early Access promues par des publicités promettant des récompenses financières. Une fiche Google Play confirme où une application est distribuée, mais pas que ses promesses sont authentiques.

Avant toute installation, les utilisateurs doivent comparer le nom du développeur, l’identifiant de package, les captures d’écran, la description et la marque prétendument propriétaire. Toute incohérence entre la publicité, la fiche et l’application installée constitue une bonne raison de supprimer le logiciel et de le signaler.

Les offres promettant de gagner facilement de l’argent via PayPal ou des cryptomonnaies, d’obtenir des cartes-cadeaux, des jackpots ou des tours gratuits doivent faire l’objet d’une vigilance particulière. L’augmentation d’un solde virtuel ne prouve pas que les fonds pourront être retirés.

Les vidéos de célébrités doivent également être considérées comme potentiellement synthétiques. La présence d’un visage familier dans une publicité diffusée sur les réseaux sociaux ne prouve ni l’authenticité du contenu ni l’existence d’un soutien.

Les organisations qui administrent des flottes Android peuvent bloquer ou limiter l’installation d’applications Early Access sur les appareils professionnels. Les données de télémétrie mobile doivent être examinées afin de détecter la répétition de lancements publicitaires, les redirections vers des navigateurs et les applications inattendues associées à des développeurs inconnus.

Les équipes de sécurité doivent enquêter séparément sur les signaux à plus haut risque, notamment les services Android Debug Bridge exposés, les autorisations Accessibility accordées sans autorisation, les activités de capture d’écran, le clonage de profils professionnels et les comportements de contrôle à distance inexpliqués. Ces éléments ne sont pas des caractéristiques confirmées des applications Early Access trompeuses, mais peuvent révéler la présence d’un autre malware Android.

Les utilisateurs qui découvrent des applications trompeuses doivent signaler à la fois la fiche Google Play et la publicité qui les y a conduits. Ne perturber qu’un seul des deux canaux laisse l’autre disponible pour une réutilisation.