Introduction : un malware Android qui peut tout effacer
Tu imagines : tu allumes ton smartphone et tout ton contenu disparaît. Photos, contacts, documents… tout est parti. C’est exactement ce que permet un malware Android Remote Data-Wipe découvert en novembre 2025.
Ce malware exploite un service légitime de Google appelé Find Hub — normalement utilisé pour retrouver et protéger un appareil perdu. Mais des hackers l’utilisent maintenant pour faire exactement le contraire : supprimer à distance toutes vos données.
Cette attaque a été repérée en Corée du Sud et montre à quel point certaines attaques mobiles deviennent sophistiquées et dangereuses.
Comment fonctionne ce malware Android Remote Data-Wipe ?
Le malware commence avec une technique très simple mais efficace : tromper l’utilisateur.
La première étape — la tromperie via KakaoTalk
Les victimes reçoivent un fichier ZIP nommé “Stress Clear.zip” via KakaoTalk, une application de messagerie très populaire en Corée du Sud.
À l’intérieur : un fichier MSI (Microsoft Installer) qui semble inoffensif, mais qui installe le malware en arrière-plan. Pendant ce temps, le système affiche un faux message d’erreur disant que le programme n’est pas compatible avec votre langue.
⚡ Astuce : ce genre de message est fait pour te rassurer et te faire croire que tout est normal.
L’installation et la persistance
Une fois lancé, le malware :
- Copie des scripts dans des dossiers publics de Windows.
- Crée une tâche planifiée pour se relancer automatiquement après chaque redémarrage.
- Supprime les fichiers d’installation pour ne laisser aucune trace.
En gros, même si tu redémarres ton PC, le malware reste actif.
Backdoors et contrôle à distance
Le malware utilise un script AutoIt appelé loKITr.au3 pour :
- se connecter à des serveurs de contrôle situés en Allemagne,
- télécharger d’autres modules malveillants,
- surveiller ton PC en temps réel (webcam, clavier, mots de passe).
C’est là que le malware devient vraiment dangereux : il peut obtenir tes identifiants Google et accéder à Find Hub, le service qui est censé protéger ton smartphone.
Comment les hackers exploitent Google Find Hub
Avec les identifiants Google volés, les hackers peuvent :
- vérifier si tu es loin de ton smartphone ou tablette,
- envoyer une commande de réinitialisation à distance (remote factory reset),
- effacer toutes tes données en quelques minutes.
En clair : ce qui devait protéger ton appareil devient un outil de destruction.
Les groupes derrière cette attaque
Cette attaque est liée à la KONNI APT operation, contrôlée par des groupes nord-coréens comme Kimsuky et APT37.
Ils ont commencé par compromettre le compte KakaoTalk d’un conseiller psychologique en Corée du Sud et ont utilisé ses contacts pour propager le malware.
🤯 Astuce : les attaques utilisent souvent des personnes de confiance pour tromper leurs victimes, pas juste des emails inconnus.
Les risques pour les utilisateurs et les entreprises
Pour les particuliers
- Perte complète des données personnelles (photos, vidéos, contacts)
- Accès à distance par des hackers, espionnage via webcam et microphone
- Piratage de comptes Google et Naver
Pour les entreprises
- Risque si les employés utilisent des appareils Android liés aux comptes professionnels
- Perte d’informations sensibles
- Interruption de communication et productivité
⚠️ Même un utilisateur prudent peut être ciblé si le fichier est reçu par un contact de confiance.
Comment se protéger contre ce malware Android Remote Data-Wipe
Vérifier les fichiers avant ouverture
Ne jamais ouvrir de fichiers ZIP ou MSI envoyés par messagerie, même venant d’un ami, sans vérifier.
Sécuriser ses comptes Google
- Activer l’authentification à deux facteurs (2FA)
- Ne pas réutiliser ses mots de passe
- Surveiller les connexions suspectes via Google Account
Garder ses appareils à jour
- Installer toutes les mises à jour Android et Windows
- Activer les protections intégrées comme Find Hub et Google Play Protect
Utiliser un antivirus et EDR de confiance
Ces solutions peuvent détecter les scripts AutoIt et les RAT (Remote Access Trojan) comme RemcosRAT, QuasarRAT, et RftRAT.
Comment réagir en cas d’infection
- Déconnecter l’appareil d’internet immédiatement
- Changer tous les mots de passe liés à Google et autres comptes sensibles
- Analyser le PC avec un antivirus ou EDR
- Ne pas tenter de restaurer depuis le cloud sans vérifier la source, certains fichiers peuvent être infectés
🔧 Astuce : si tu gères des appareils professionnels, contacte un expert en cybersécurité pour une analyse complète.
Conseils pour confronter le Malware Android Remote
- Sensibiliser les employés aux fichiers suspects et phishing via messageries
- Mettre en place une politique de sécurité mobile
- Surveiller les comptes Google liés aux appareils professionnels
- Prévoir un plan de réponse aux incidents pour gérer la perte de données
💼 Pour protéger votre entreprise et vos données, contactez CybernityOne, expert en cybersécurité et protection mobile.
Résumé et points clés
- Le malware Android Remote Data-Wipe est la première attaque connue utilisant Google Find Hub à des fins destructrices
- Les hackers nord-coréens exploitent la confiance des utilisateurs et des contacts pour propager le malware
- L’attaque combine ingénierie sociale, RAT, scripts AutoIt et abus de services légitimes
- Protection : vigilance, mises à jour, 2FA, antivirus et expertise professionnelle
FAQ – Malware Android Remote
Q : Mon Android peut-il être touché partout dans le monde ?
R : Cette attaque a été observée en Corée du Sud, mais la méthode peut s’étendre à d’autres régions si les hackers s’adaptent.
Q : Est-ce que Google Find Hub est dangereux ?
R : Non, ce service est conçu pour protéger ton appareil. Le danger vient de l’utilisation malveillante des identifiants volés.
Q : Puis-je récupérer mes données après une attaque ?
R : Pas toujours. Si le malware exécute un remote wipe, les données locales et cloud peuvent être supprimées définitivement.
Conclusion
Cette attaque montre que même des services conçus pour la sécurité peuvent être détournés. La vigilance, les mises à jour régulières et l’utilisation de protections adaptées sont essentielles.
Pour renforcer la sécurité de vos appareils Android et protéger votre entreprise, contactez CybernityOne, votre partenaire cybersécurité de confiance.
