« Fantasy Hub » : un nouveau malware Android vendu par abonnement inquiète les experts
Un nouveau logiciel espion fait trembler l’écosystème Android. Baptisé « Fantasy Hub », ce cheval de Troie d’accès à distance (RAT) a été découvert par les chercheurs de zLabs, la division de recherche en sécurité mobile de Zimperium. Sa particularité : il est proposé sous forme d’abonnement, selon un modèle de Malware-as-a-Service (MaaS) qui démocratise le cyberespionnage.
Conçu et diffusé sur des plateformes russophones, Fantasy Hub s’adresse à tous les profils de pirates. L’abonnement inclut une documentation complète, des vidéos tutoriels et même un bot Telegram qui automatise la création du malware. Les acheteurs y apprennent comment cloner des pages Google Play, fabriquer des icônes crédibles et usurper des applications populaires comme Telegram afin de tromper les utilisateurs.
Une fois installé, le malware se transforme en véritable outil d’espionnage : vol des SMS, contacts et journaux d’appels, écoute en direct via le micro, ou encore fausses fenêtres bancaires destinées à dérober des identifiants financiers. Les chercheurs ont observé des campagnes ciblant notamment Alfa Bank, PSB, Tbank et Sberbank. Fantasy Hub exploite également le rôle de gestionnaire SMS d’Android pour intercepter les codes de vérification à deux facteurs.
Pour échapper à la détection, l’application se dissimule derrière une fausse mise à jour Google Play et vérifie l’environnement du téléphone avant d’activer ses fonctions d’espionnage.
Selon Vishnu Pratapagiri, chercheur chez zLabs, « Fantasy Hub démontre comment des logiciels espions complexes peuvent devenir accessibles à tous grâce à une approche commerciale bien rodée ».
Cette industrialisation du cybercrime fait peser une menace croissante sur les particuliers comme sur les entreprises, en particulier dans les environnements BYOD où les smartphones personnels accèdent aux données professionnelles. Les experts appellent à redoubler de vigilance : éviter les installations hors du Play Store, ne jamais confier la gestion des SMS à une app inconnue et privilégier l’authentification sans SMS.