ClayRat : le nouveau spyware Android qui se propage comme un virus social

Zimperium révèle une campagne d’espionnage mobile d’une ampleur rarement observée. Découvert par l’équipe de recherche zLabs, le logiciel espion « ClayRat » se diffuse rapidement sur Android en se faisant passer pour des applications populaires comme WhatsApp, TikTok ou Google Photos. En quelques mois, plus de 600 variantes ont déjà été recensées, confirmant la montée en puissance d’une menace mobile particulièrement sophistiquée.

Un spyware qui détourne les mécanismes d’Android

Identifié par Zimperium, spécialiste mondial de la cybersécurité mobile, ClayRat exploite des techniques d’ingénierie sociale et des failles comportementales pour piéger les utilisateurs. Le principe est redoutable : une fois installé, le malware s’approprie le rôle de gestionnaire SMS par défaut du téléphone. Cette prise de contrôle lui permet non seulement d’accéder aux messages et journaux d’appels, mais aussi de contourner les protections de sécurité d’Android destinées à limiter ce type d’intrusion.

ClayRat va encore plus loin. Après avoir collecté des données sensibles : messages, photos, informations système ou encore clichés pris avec la caméra frontale , il envoie automatiquement des liens malveillants à tous les contacts de la victime. Chaque smartphone infecté devient ainsi un relais de diffusion, accélérant la propagation du spyware à la manière d’un virus social.

Une prolifération inquiétante

Entre juillet et septembre 2025, Zimperium a détecté plus de 600 échantillons distincts de ClayRat et 50 droppers (programmes injecteurs) utilisés pour installer le malware. Ces multiples variantes intègrent chacune de nouvelles couches d’obfuscation, c’est-à-dire de brouillage du code, afin d’échapper aux outils de détection traditionnels.

Cette évolution rapide illustre un phénomène plus large : la professionnalisation croissante des cyberattaques mobiles. Les malwares ne se limitent plus à voler des données ; ils se répliquent, se camouflent et s’adaptent en temps réel pour contourner les défenses.

Des défenses proactives grâce à l’IA

Face à cette offensive, Zimperium assure avoir détecté les échantillons de ClayRat dès leur apparition, grâce à ses solutions Mobile Threat Defense (MTD) et Mobile Runtime Protection (MRP). Ces systèmes, basés sur l’intelligence artificielle, permettent d’identifier les comportements suspects sans attendre la publication de nouvelles signatures virales, offrant ainsi une protection en temps réel.

En tant que partenaire de l’App Defense Alliance, Zimperium a également partagé ses découvertes avec Google. Cette collaboration a permis à Google Play Protect de renforcer ses filtres et d’étendre la protection à l’ensemble des utilisateurs Android.

Une menace qui s’appuie sur la confiance sociale

• Si ClayRat frappe aussi fort, c’est qu’il exploite un levier psychologique redoutable : la confiance entre contacts personnels. En envoyant des liens infectés directement depuis les téléphones compromis, le spyware contourne la méfiance habituelle des utilisateurs face aux messages suspects.
• Les victimes reçoivent en apparence un lien d’un ami ou d’un proche, et non d’un inconnu, rendant la détection humaine quasi impossible.

Une alerte pour l’écosystème Android

Cette nouvelle campagne rappelle à quel point les appareils mobiles sont devenus des cibles privilégiées pour les cybercriminels. Les smartphones concentrent aujourd’hui toutes les données sensibles : conversations privées, accès bancaires, documents professionnels et photos personnelles.

ClayRat montre que les attaquants ne se contentent plus de dérober : ils exploitent désormais les réseaux relationnels pour maximiser l’impact de leurs offensives. Une évolution inquiétante qui renforce la nécessité, pour les particuliers comme pour les entreprises, d’adopter des solutions de sécurité mobiles proactives et actualisées.