StreamRAT : le trojan Android qui vole vos comptes via des pubs Meta

Une diffusion massive via les plateformes publicitaires légitimes

Les chercheurs de ThreatFabric ont publié le 2 septembre 2026 une analyse détaillée d'une campagne malveillante baptisée StreamRAT, un trojan Android distribué via des publicités frauduleuses sur les plateformes Meta (Facebook, Instagram) et TikTok. La particularité de cette opération réside dans son vecteur : au lieu des canaux underground traditionnels, les attaquants ont investi dans de vrais budgets publicitaires pour atteindre leurs cibles à grande échelle via des régies officielles, bénéficiant ainsi des algorithmes de ciblage de Meta et TikTok pour maximiser leurs conversions.

La campagne suivie sous le nom de code Steamtv Esp a atteint 570 000 utilisateurs Meta entre le 11 juin et le 3 juillet 2026, principalement en Espagne. Les annonces proposaient un accès gratuit à des services de streaming populaires via une application à télécharger hors du Play Store officiel. La promesse d'un abonnement gratuit à des plateformes coûteuses constitue un leurre particulièrement efficace. Une campagne TikTok parallèle a ciblé la même démographie hispanique avec des créatifs similaires.

La chaîne d'infection débute par un clic sur la publicité, redirigée vers un site de phishing imitant une vraie plateforme de streaming. Le processus d'installation est guidé pas à pas, invitant l'utilisateur à autoriser l'installation depuis des sources inconnues — une permission qu'Android présente avec des avertissements de sécurité, que le site frauduleux présente comme une étape normale. La légitimité perçue de Meta ou TikTok agit comme un vecteur de confiance implicite : un utilisateur cliquant sur une pub Meta ne soupçonne pas d'emblée être ciblé par un cybercriminel.

Un dropper multi-étapes avec coupure internet délibérée

L'une des particularités techniques les plus notables de StreamRAT est son mécanisme de déploiement en plusieurs phases. Avant de télécharger le payload final, le dropper initial crée délibérément une connexion VPN défaillante. Cette technique perturbe intentionnellement l'accès internet de l'appareil tout en s'excluant elle-même du blocage, empêchant la victime de chercher de l'aide en ligne ou de contacter son opérateur pendant que l'infection progresse en arrière-plan.

Cette approche réduit drastiquement la capacité de réaction au moment critique. L'utilisateur incapable d'accéder à internet peut attribuer le problème à un bug de l'application et attendre patiemment, laissant au malware le temps de compléter son installation et d'obtenir toutes les permissions nécessaires. C'est une ingénierie sociale intégrée directement au code du malware, exploitant la frustration et la passivité naturelles face à un problème technique apparent.

Une fois le payload final déployé, StreamRAT sollicite l'accès aux Services d'Accessibilité Android — une permission très puissante permettant de lire et d'interagir avec l'interface de n'importe quelle autre application. Conçue pour aider les personnes en situation de handicap, cette permission est régulièrement détournée par les malwares bancaires pour automatiser des clics, lire les écrans et intercepter des saisies utilisateur en temps réel.

Arsenal technique : VNC caché, keylogging et overlays bancaires

L'analyse de ThreatFabric révèle un arsenal rarement assemblé dans un seul malware Android grand public. StreamRAT implémente un module VNC (Virtual Network Computing) permettant à l'attaquant de voir en temps réel l'écran de la victime et d'y interagir à distance. Ce module est couplé à une fonction HVNC (Hidden VNC) créant une session d'affichage invisible pour l'utilisateur : l'opérateur malveillant peut naviguer sur l'appareil et effectuer des actions sans que la victime ne s'aperçoive de rien.

L'API Android MediaProjection, conçue pour la diffusion d'écran légitime, est détournée pour capturer en continu l'affichage et l'envoyer aux serveurs de commande et contrôle (C2). Cette technique contourne les protections anti-capture des applications bancaires modernes qui utilisent le flag FLAG_SECURE de WindowManager pour bloquer les screenshots classiques, mais ne peuvent pas empêcher une capture via MediaProjection avec les permissions d'accessibilité.

Le keylogger intégré enregistre toutes les frappes et reconstitue mots de passe, codes PIN et numéros de carte bancaire en texte clair. La fonction de collecte de l'arbre d'interface utilisateur (UI tree collection) permet au malware de lire la structure sémantique de chaque écran, extrayant automatiquement les champs de formulaire, montants de transactions et numéros de compte sans effectuer de capture d'écran classique — une technique peu détectée car elle génère peu de trafic réseau.

StreamRAT dispose également d'overlays sophistiqués imitant fidèlement les interfaces d'applications bancaires légitimes, affichés au moment précis où l'utilisateur tente de se connecter. Ces fausses fenêtres sont indiscernables de l'application originale. Le trojan peut enfin bloquer l'écran et couper l'accès internet sélectivement, permettant aux attaquants de mener des virements frauduleux pendant que la victime est dans l'impossibilité d'intervenir ou d'être alertée par sa banque.

Pourquoi cette menace redéfinit les risques mobiles en entreprise

StreamRAT marque un tournant dans les tactiques des cybercriminels financiers. L'utilisation des plateformes publicitaires légitimes contourne efficacement les défenses basées sur la réputation des domaines ou la détection de fichiers malveillants connus. Les 570 000 personnes atteintes en trois semaines montrent que les mécanismes de modération publicitaire actuels sont insuffisants face à des opérateurs qui investissent dans des créatifs soigneusement conçus pour passer les filtres automatiques de Meta et TikTok.

La convergence des techniques VNC, HVNC, MediaProjection, keylogging et overlays dans un seul malware grand public témoigne d'une démocratisation des outils de surveillance avancés dans la cybercriminalité organisée. Ces capacités étaient autrefois associées à des groupes APT étatiques — leur présence dans un trojan à vocation purement financière est un signal préoccupant de l'évolution du marché des outils offensifs.

Pour les organisations françaises en mode BYOD, le risque est indirect mais réel. Un collaborateur dont l'appareil personnel est compromis par StreamRAT expose potentiellement des accès à la messagerie professionnelle, au VPN d'entreprise et aux applications SaaS. Un attaquant contrôlant le HVNC d'un appareil peut attendre que l'employé ouvre une application professionnelle pour capturer les identifiants ou déclencher des actions en son nom, contournant ainsi les protections périmètriques de l'organisation.

D'après ThreatFabric, les indicateurs de compromission (IOC) et domaines C2 associés à StreamRAT ont été partagés avec la communauté de la sécurité. Les équipes SOC peuvent enrichir leurs règles de détection réseau et configurer leurs solutions EDR/MTD pour bloquer les communications vers les infrastructures identifiées. Sur le plan préventif, les organisations doivent renforcer leurs politiques BYOD en interdisant explicitement l'installation d'APK hors du Play Store sur les appareils accédant aux ressources d'entreprise.

Ce qu'il faut retenir

• StreamRAT se diffuse via de vraies publicités payantes sur Meta et TikTok promettant du streaming gratuit — tout APK à installer hors du Play Store représente un risque majeur, quelle que soit la source apparente de la recommandation.
• Le malware combine VNC caché, keylogging, MediaProjection et overlays bancaires pour un contrôle total et silencieux des appareils infectés.
• Les organisations en mode BYOD doivent déployer une solution MTD (Mobile Threat Defense) et mettre à jour leurs politiques de gestion des appareils mobiles pour inclure la détection de ce type de trojan.