Octagon : un nouveau malware Android sophistiqué cible les utilisateurs via de fausses applications officielles

Les chercheurs de K7 Security ont identifié Octagon, un nouveau cheval de Troie d’accès à distance (RAT) visant les appareils Android. Capable de se dissimuler dans de fausses applications gouvernementales et de contourner les mécanismes de sécurité classiques, ce malware a toutefois été détecté et bloqué en amont par les solutions de Zimperium.

Une nouvelle menace cible les utilisateurs d’Android. Baptisé Octagon, ce cheval de Troie d’accès à distance (Remote Access Trojan – RAT) se diffuse en usurpant l’identité d’applications gouvernementales ou de sécurité publique.

Parmi les exemples observés figure une imitation de « BH Alert », l’application officielle de protection civile du Bahreïn, utilisée pour inciter les victimes à installer le logiciel malveillant. Selon Zimperium, la menace avait déjà été détectée et neutralisée sur les appareils protégés par ses solutions avant même la publication des premières analyses techniques et des indicateurs de compromission (IOC).

Octagon se distingue par une architecture modulaire en plusieurs étapes, pensée pour échapper aux méthodes traditionnelles de détection. Le malware dissimule notamment sa charge utile chiffrée dans un faux fichier de police de caractères. Une fois installé sur l’appareil, ce fichier est déchiffré localement avant que le code malveillant ne soit automatiquement exécuté.

Cette approche lui permet de contourner plus facilement les analyses statiques ainsi que les mécanismes de contrôle automatisés utilisés par les boutiques d’applications.

Pour prendre le contrôle de l’appareil, Octagon exploite les services d’accessibilité d’Android au moyen d’un processus d’installation trompeur en plusieurs étapes. Une fois les autorisations accordées, le malware peut capturer le contenu affiché à l’écran, enregistrer les frappes clavier, dérober des identifiants de connexion et interagir avec l’interface sans que l’utilisateur ne s’en aperçoive.

Le logiciel malveillant est également capable d’accéder aux SMS, aux contacts ainsi qu’aux journaux d’appels, augmentant considérablement les risques de vol de données personnelles. Octagon maintient une connexion permanente avec son infrastructure de commande et de contrôle (C2), permettant aux attaquants de piloter le malware à distance.

Il peut également détourner le trafic réseau en utilisant des configurations VPN compromises ou contrôlées par les cybercriminels, renforçant ainsi ses capacités d'espionnage et de contrôle. Pour contrer cette menace, Zimperium s’appuie sur ses solutions Mobile Threat Defense (MTD) et Runtime Application Protection (zDefend).

Contrairement aux approches reposant uniquement sur des signatures, ces technologies utilisent des modèles de machine learning exécutés directement sur les terminaux afin d’identifier les comportements suspects caractéristiques d’Octagon. Selon l’entreprise, cette approche permet de protéger automatiquement les appareils contre ce malware et ses variantes, sans intervention des administrateurs ni mise à jour spécifique du moteur de détection.