Group-IB : Mirax prend le contrôle de téléphones Android via des pubs dans des applis de streaming

Le 5 novembre 2026, Group-IB (en anglais) a publié un rapport sur une campagne de logiciel malveillant Android qu’elle suit sous le nom Mirax. Entre mars et septembre 2026, l’entreprise dit que des milliers de téléphones appartenant à des clients de banques de détail au Moyen-Orient, en Turquie et en Afrique (la région META) ont été confirmés comme infectés. Dans les cas où des virements internationaux non autorisés ont été signalés, l’argent est allé vers des comptes à l’étranger, dont certains sont soupçonnés d’être des comptes relais. Group-IB estime les pertes à des millions de dollars américains, en ne comptant que ce qu’elle peut confirmer, et dit que la campagne était encore en cours au moment de la publication. Voici comment le logiciel arrive sur un téléphone, et quoi vérifier.

Comment il arrive

L’appât a l’air ordinaire : une application gratuite de diffusion vidéo sur le Google Play Store. Group-IB dit que les personnes qui téléchargent des applications de streaming peu réputées y voient des publicités. Les indices laissent croire que ces bannières mènent à un chargeur téléchargé hors de la boutique officielle, et que ce chargeur installe la charge utile de Mirax.

La charge utile se fait passer pour « Google Play Services », en remplaçant la lettre latine par un « о » cyrillique, et pousse le propriétaire à accorder l’accès au service d’accessibilité. Cette seule permission transforme l’infection en une prise de contrôle complète de l’appareil. L’icône du lanceur est masquée à l’exécution, les noms de paquets sont tirés au hasard pour chaque version, et la campagne fait tourner les noms d’applications pour compliquer le retrait.

Ce qu’il peut faire

Mirax appartient à une famille de prises de contrôle d’appareil : avec l’accès Accessibilité, l’opérateur peut voir et commander le téléphone en temps réel. Group-IB dit que cela comprend la lecture des identifiants, l’interception des codes à usage unique, la capture du NIP servant plus tard à déverrouiller l’appareil, l’ouverture d’une application bancaire, et le transfert d’argent vers de nouveaux bénéficiaires et des comptes relais à l’étranger. Du point de vue de la banque, peu de choses semblent inhabituelles. L’activité vient de l’appareil, de l’application et de l’emplacement habituels du client.

L’application de premier stade est volontairement légère. Les adresses de commande et de contrôle, le rythme, le comportement DNS sur HTTPS et même les modèles d’hameçonnage et d’injection HTML adaptés à chaque application bancaire sont récupérés sur le serveur de l’attaquant après l’installation. Une adresse figée dans l’échantillon n’est qu’un point de rendez-vous.

Group-IB a observé deux fortes hausses d’activité, pendant les fêtes de l’Aïd et à la fin de juillet. Le nombre d’appareils infectés dépasse le nombre d’échantillons identifiés, ce qui cadre avec la réutilisation d’une même version chez plusieurs victimes.

C’est une prise de contrôle plus complète que les chevaux de Troie bancaires Android et Hirudo dont nous avons parlé plus tôt cet automne, mais elle s’appuie sur le même signal d’alarme : une demande d’accès Accessibilité dont une application ordinaire n’a pas besoin.

Ce que vous pouvez faire

1. Soyez prudents avec les applications de streaming gratuites, surtout celles qui ont de mauvaises évaluations ou qui demandent vite d’installer quelque chose hors de Google Play.
2. N’accordez pas l’accès Accessibilité à une application qui n’est pas un vrai outil d’assistance que vous avez choisi, y compris à tout ce qui se prétend « Google Play Services » alors que vous l’avez déjà sur le téléphone.
3. Passez en revue les réglages Accessibilité, administration de l’appareil et applications par défaut, et retirez ce que vous ne reconnaissez pas. Sous Android, c’est généralement dans Réglages, puis Accessibilité.
4. Surveillez vos applications bancaires pour de nouveaux bénéficiaires ou des virements que vous n’avez pas faits, et contactez votre banque au numéro au dos de votre carte si vous en voyez.
5. Laissez Google Play Protect activé, et n’installez des applications bancaires que depuis la boutique officielle.

Comment Frame peut aider

Mirax infecte des téléphones plutôt que de publier une liste d’adresses courriel, donc il n’y a pas d’enregistrement de fuite à ajouter dans Frame. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned pour d’autres fuites. Frame ne scrute pas les appareils Android à la recherche de ce logiciel.

À lire aussi

• Deux nouveaux chevaux de Troie bancaires Android, un même signal d’alarme : la permission Accessibilité : des campagnes antérieures qui avaient aussi besoin de l’accès Accessibilité pour commander un téléphone.
• Hirudo remplace votre vraie application bancaire par une copie modifiée qui aveugle ses propres contrôles : un autre cheval de Troie bancaire Android qui commence par une fausse mise à jour.
• iVerify : des criminels, pas des gouvernements, causent désormais la plupart des logiciels espions sur iPhone : une autre plateforme, et un rappel que les logiciels espions vendus dans le commerce ne sont plus seulement une affaire d’États.

Sources

• Group-IB, From Streaming to Stealing: Mirax and the Rise of Server-side Android Device Takeover in META (en anglais), 5 novembre 2026