StreamRat, le cheval de Troie Android diffusé via de fausses publicités de streaming sur Meta

Une campagne ciblant les utilisateurs espagnols

ThreatFabric a publié le 2 septembre 2026 une analyse de StreamRat, un nouveau cheval de Troie bancaire pour Android capable de prendre le contrôle presque total des appareils infectés. Le malware a été promu au moyen d’une fausse offre de télévision en streaming visant principalement les utilisateurs hispanophones, et plus particulièrement l’Espagne.

La campagne publicitaire sur Meta est restée active du 11 juin 2026 au 3 juillet 2026 et a été découverte fin juillet 2026. Selon les données disponibles, les publicités auraient pu atteindre 570 950 comptes Meta dans l’Union européenne, chacun ayant été exposé au moins une fois.

Ce chiffre mesure la portée potentielle de la campagne publicitaire, et non le nombre d’infections. Ni le nombre total d’appareils compromis ni celui des victimes confirmées n’ont été communiqués.

Les bannières ont pu apparaître aussi bien sur Facebook que sur Instagram, mais il n’a pas été possible de déterminer quel service constituait le principal canal de diffusion. Des éléments liés à TikTok ont également été identifiés : le code de la page utilisée pour distribuer l’APK était capable de détecter TikTok comme application d’origine. Aucune publicité vérifiable ni donnée ne permet toutefois d’établir l’ampleur d’une éventuelle campagne sur cette plateforme.

Du faux service TV à l’installation de deux APK

L’infection n’exploite pas de vulnérabilité d’Android. Elle nécessite en revanche que la victime télécharge manuellement une application externe et accepte une série de demandes particulièrement intrusives.

La publicité redirige vers un site contrôlé par les opérateurs. La page identifie le système d’exploitation du visiteur et, s’il s’agit d’Android, affiche un bouton permettant de télécharger un fichier nommé app.apk.

Ce premier APK joue le rôle de dropper, c’est-à-dire de composant chargé de préparer l’appareil et d’installer le malware principal. Après son lancement, il demande à devenir l’application Accueil par défaut. Si l’utilisateur accepte, l’interface du dropper revient au premier plan chaque fois que le bouton Accueil est pressé, ce qui complique l’interruption de la procédure.

Le programme demande ensuite l’autorisation de créer une connexion VPN. Une fois autorisée, la VPN redirige le trafic de l’appareil vers une interface qui ne transmet pas réellement les données, tout en excluant le dropper lui-même du blocage. Les autres applications perdent temporairement leur accès à Internet, mais le composant malveillant peut continuer à télécharger sa charge utile.

StreamRat est déposé dans le répertoire public Downloads, sous un nom au format suivant :

update_{timestamp}.apk

Le dropper incite ensuite l’utilisateur à autoriser l’installation depuis des sources inconnues et lance le mécanisme Android habituel pour installer le second paquet. Après l’exécution de la charge utile, la VPN est désactivée et la connectivité est rétablie. StreamRat peut alors contacter son infrastructure de commande et de contrôle.

La déconnexion semble conçue pour perturber les contrôles de réputation en ligne et certaines vérifications effectuées pendant l’installation. Cette technique ne neutralise toutefois pas complètement Google Play Protect, qui conserve des capacités de détection hors ligne pour les applications malveillantes déjà connues.

Les services d’accessibilité ouvrent la voie au contrôle à distance

Après son lancement, StreamRat demande l’accès aux services Android d’Accessibilité. Ces fonctions sont destinées à aider les personnes en situation de handicap, mais elles offrent également une visibilité approfondie sur l’interface et la possibilité d’interagir avec les éléments affichés.

Une fois cette autorisation activée et la connexion au serveur C2 établie, les opérateurs peuvent enregistrer les frappes, lire le contenu affiché à l’écran et exécuter des commandes à distance. Le malware peut également superposer de fausses fenêtres aux applications légitimes afin d’inciter la victime à saisir ses identifiants bancaires ou d’autres informations confidentielles.

StreamRat dispose de deux méthodes pour capturer l’écran. La première utilise l’API Android MediaProjection, qui affiche normalement une demande de consentement ainsi qu’un indicateur pendant le partage. Après avoir obtenu l’accès aux services d’accessibilité, le cheval de Troie peut toutefois interagir avec la fenêtre d’autorisation, réduisant ainsi le contrôle réellement exercé par l’utilisateur.

La seconde méthode exploite la fonction d’accessibilité takeScreenshot(). Elle permet de capturer des images sans dépendre de l’indicateur normalement associé à MediaProjection.

En combinant captures d’écran, keylogging, superpositions et contrôle de l’interface, les opérateurs peuvent surveiller les activités de la victime et interagir avec les applications financières. Le risque ne concerne donc pas uniquement les mots de passe : les codes à usage unique, les messages, les soldes, les données personnelles et les informations affichées pendant une session bancaire peuvent également être exposés.

La plage précise des versions Android concernées ou compatibles n’a pas été publiée. L’exposition dépend principalement de l’installation d’un APK externe et de l’octroi des autorisations demandées.

Les similitudes avec l’opération Mirax précédente

La charge utile analysée provenait d’un compte GitHub que ThreatFabric relie à une campagne précédente baptisée Mirax. Le dropper présente lui aussi de fortes similitudes avec le logiciel utilisé lors de cette opération.

Une analyse de Cleafy consacrée à Mirax avait décrit l’utilisation des releases GitHub pour héberger les droppers, ainsi que le recours à des liens alternatifs et à des mises à jour quotidiennes des paquets. StreamRat pourrait donc s’inscrire dans la continuité d’une opération reposant sur les mêmes techniques de diffusion et sur des éléments d’une infrastructure déjà utilisée.

Les éléments disponibles ne permettent toutefois pas d’attribuer définitivement StreamRat. ThreatFabric estime probable l’implication de développeurs expérimentés dans le malware Android, mais n’a pas rattaché StreamRat à un groupe criminel identifié.

Packages, hash et serveurs à rechercher

Les administrateurs et les responsables de la sécurité mobile peuvent vérifier la présence des deux échantillons identifiés.

Indicateur	Échantillon 1	Échantillon 2
Nom de l’application	StrεαmTV Pro	Sistema de vídeo
Package	io.base.one887	io.meat.hint
SHA-256	e0714788b4e2518b0d9d4cbf18c7217bb97718e01689d77338f1cc4a230fcb6c	ba83cc3c9535690191018edf73ca5c6001609df9919462796aa2e551f142e4d3

Les adresses IP associées à l’infrastructure C2 sont les suivantes :

45.147.28[.]59
193.32.2[.]245

Au-delà des indicateurs statiques, il convient de rechercher les modifications anormales de la configuration de l’appareil : nouvelle application Accueil par défaut, VPN récemment créée, accès aux services d’accessibilité accordé à un logiciel inconnu et autorisations d’enregistrement de l’écran.

Le répertoire Downloads mérite une vérification particulière. La présence de fichiers suivant le schéma update_{timestamp}.apk, surtout lorsqu’elle s’accompagne de l’un des packages indiqués, constitue un signal important. Les hash permettent d’identifier précisément les échantillons connus, mais des variantes recompilées peuvent produire des valeurs différentes.

Comment intervenir sur un appareil suspect

Une application de streaming n’a aucune raison légitime de devenir le launcher par défaut, de créer une VPN, d’installer d’autres APK et d’obtenir l’accès aux services d’accessibilité. La combinaison de ces demandes doit conduire à interrompre immédiatement l’installation.

Google Play Protect doit rester activé. Même s’il ne garantit pas le blocage de toutes les variantes, il peut détecter hors ligne les applications potentiellement malveillantes déjà répertoriées.

En cas de suspicion d’infection, l’appareil doit être isolé du réseau. Il faut ensuite révoquer l’accès aux services d’accessibilité, supprimer les éventuels privilèges liés à l’écran d’accueil, effacer les VPN inconnues et désinstaller les packages malveillants. Les APK restants dans le dossier Downloads doivent être supprimés après la collecte des éléments nécessaires à l’analyse.

La remédiation technique ne suffit pas à résoudre le problème. Tous les identifiants utilisés sur le téléphone pendant la période de compromission potentielle doivent être considérés comme exposés, en particulier les identifiants bancaires. Il est recommandé de les modifier depuis un appareil fiable, de vérifier les sessions actives et de contrôler les opérations financières ou les connexions non reconnues.