RedHook : le trojan bancaire qui s'octroie les droits système sur Android

Une infection qui commence par un message de confiance

Le point d'entrée de RedHook n'a pas changé depuis sa découverte initiale en juillet 2025. L'attaque démarre par un appel ou un message qui usurpe l'identité d'une banque ou d'une administration. La victime est dirigée vers un faux site imitant le Google Play Store, l'invitant à installer une application. Cet APK est téléchargé en dehors du store officiel, souvent hébergé sur des infrastructures réputées de confiance comme des dépôts GitHub ou des espaces de stockage cloud, ce qui fiabilise la distribution.

Une fois l'application lancée, un faux tutoriel guide l'utilisateur pour qu'il accorde la permission d'accessibilité. Cette autorisation donne à une application un contrôle étendu sur l'interface du terminal. C'est le socle sur lequel repose tout le reste de l'attaque.

Le débogage sans fil détourné en accès système

C'est ici que la nouvelle version du malware se distingue. RedHook s'appuie sur l'accessibilité pour activer lui-même les options développeur, puis le débogage sans fil (Wireless ADB).

L'ADB (Android Debug Bridge) est un outil qui permet normalement à un ordinateur de piloter un appareil Android en ligne de commande, pour déboguer une application ou installer un logiciel. Le débogage sans fil étend cette possibilité au réseau, sans câble USB. Dans les deux cas, l'usage prévu suppose une machine tierce qui joue le rôle d'hôte.

Le malware contourne cette contrainte. Il fait tourner directement sur le téléphone le composant qui, normalement, tourne sur l'ordinateur, et s'y connecte via l'adresse réseau interne de l'appareil. Le terminal devient ainsi son propre hôte, sans PC ni câble. RedHook obtient alors un shell privilégié, un niveau d'accès très supérieur à celui d'une application ordinaire. Avec ces privilèges, il peut installer et désinstaller des applications, modifier des réglages protégés du système et s'accorder des permissions sensibles, le tout sans aucune boîte de dialogue de confirmation. Pour parvenir à ce résultat, il réutilise le code d'un framework open source, initialement conçu pour offrir ces mêmes capacités de façon légitime.

Il n'y a ici aucune vulnérabilité exploitée, seulement un outil de débogage légitime transformé en chemin d'accès aux droits système.

Un malware particulièrement difficile à déloger

RedHook combine cet accès avec un dispositif de persistance particulièrement robuste. Deux de ses services fonctionnent en binôme et se relancent mutuellement, si bien que l'arrêt de l'un déclenche aussitôt le redémarrage de l'autre. Le malware maintient aussi une activité invisible d'un pixel sur l'écran et joue un son silencieux, deux mécanismes qui poussent le système à le considérer comme un processus prioritaire à ne pas interrompre. Après un redémarrage du téléphone, il réactive le débogage sans fil et rétablit ses privilèges en quelques secondes. Sa désinstallation devient alors très difficile.

Ses capacités sont tout aussi étendues. Il diffuse l'écran de la victime en temps réel, enregistre les frappes clavier, dérobe le code de verrouillage, intercepte les SMS et répond à un large ensemble de commandes pilotées à distance. L'une d'elles affiche notamment une fausse fenêtre de vérification et active la caméra frontale pour capturer le visage de l'utilisateur.

L'accessibilité, porte d'entrée récurrente des trojans bancaires

RedHook n'est pas un cas isolé. Les applications constituent le premier vecteur d'attaque sur mobile, à l'origine de 67 % des menaces détectées, avec en moyenne 15 applications malveillantes sur un terminal.

L'abus de l'accessibilité comme point de départ est un schéma que l'on retrouve dans de nombreux malwares. Le trojan Herodotus s'en sert pour prendre la main sur les sessions bancaires en temps réel, PromptSpy pour déployer un module de prise de contrôle à distance. À chaque fois, la même autorisation sert de tremplin.

RedHook pousse la logique un cran plus loin en s'en servant pour atteindre les droits système.

Comment Pradeo protège contre RedHook

Face à ce type de menace, Pradeo Mobile Threat Defense agit à plusieurs niveaux :

• Toute application qui réclame une permission critique comme l'accessibilité est immédiatement signalée comme potentiellement malveillante.
• La solution détecte les applications installées en dehors des stores officiels, précisément le mode de distribution de RedHook.
• L'anti-phishing bloque les liens frauduleux transmis par SMS, coupant l'attaque à son point d'entrée.
• La solution surveille les configurations à risque sur l'ensemble de la flotte. L'activation anormale des options développeur et du débogage sans fil est automatiquement signalée.