LEBIGDATA.FR I.A, Cloud & Cybersécurité
Fin janvier 2026, les projecteurs se braquent sur Hugging Face, mais pour des raisons moins glorieuses : la plateforme devient un vecteur de distribution d’un RAT Android.
Comment le « GitHub du machine learning » a servi d’usine à malwares à grande échelle.
Retour sur l’affaire. Silviu Stahie, Security Analyst chez Bitdefender, décrypte le modus operandi de ce RAT.
L’attaque commence par une campagne classique de scareware. Des publicités pop-up alarmistes annoncent que l’appareil serait déjà infecté, poussant l’utilisateur à installer un faux outil de sécurité nommé TrustBastion. Une fois installé, le RAT prend rapidement le contrôle du terminal. Il exploite les permissions Android les plus intrusives pour s’ancrer durablement.
Le RAT cible ensuite plusieurs applications financières populaires, notamment les services Alipay ou WeChat.
Polymorphisme serveur agressif pour noyer les signatures
Cette cyberattaque repose sur une stratégie de saturation ; les chercheurs ont observé ce qu’ils qualifient de polymorphisme serveur extrêmement agressif.
Contrairement aux attaques classiques avec fichier malveillant statique, les charges utiles du RAT se régénèrent toutes les quinze minutes. Un seul dépôt sur Hugging Face enregistre plus de 6 000 commits en moins d’un mois.
Cette production s’appuie sur un script automatisé sophistiqué. Il recompile régulièrement le code source du RAT pour générer un nouvel APK à chaque cycle.
Silviu Stahie explique : « Le même code du RAT est recompilé à intervalles réguliers, produisant à chaque fois un APK « frais ». Chaque nouvelle compilation introduit de légères différences – changement d’icône, modifications du manifeste, ré-emballage d’assets, remplacement de certificats, etc. – tout en conservant le même code et le même comportement sous-jacent ».
Cette manœuvre neutralise la détection basée sur les signatures statiques. Les listes noires de fichiers malveillants deviennent alors caduques avant même d’être diffusées.
Cette « tempête » de mises à jour permanentes sur Hugging Face crée un écran de fumée permanent qui noie les outils de surveillance classiques. Seule la détection comportementale reste efficace : « Malgré le polymorphisme, les échantillons partagent toujours des caractéristiques comportementales communes, des demandes de permissions similaires et des schémas de communication identiques. »
Abus massif des services d’accessibilité
Une fois infiltré dans le smartphone de la victime, le malware ne se contente pas de voler des données passives. Il vise le « Graal » des autorisations Android : les services d’accessibilité.
Dans cette campagne liée à Hugging Face, la RAT exploite la permission d’accessibilité pour obtenir un contrôle total de l’interface utilisateur.
Le malware peut ainsi interagir avec les applications « à votre place ». Il peut appuyer sur des boutons ou naviguer entre les écrans, accorder silencieusement d’autres autorisations critiques. Il peut aussi fermer certaines alertes de sécurité.
Initialement conçus pour aider les utilisateurs en situation de handicap, ces services offrent une visibilité totale sur l’activité du système. « Ils offrent une visibilité complète sur l’activité de l’utilisateur : ce qu’il fait, tape, ouvre, etc., à l’échelle de tout le système. » affirme Silviu Stahie.
Combinée à la capture d’écran en temps réel et à l’affichage en superposition, cette fonctionnalité transforme le smartphone en un terminal télécommandé par le hacker.
Les attaquants obtiennent cette permission grâce à une insistance et une manipulation progressive. Plutôt que de demander l’accès de front, le malware guide l’utilisateur à travers de fausses interfaces qui imitent des composants légitimes du système.
« La demande est banalisée en la présentant comme une vérification de sécurité. Une fois la permission accordée, elle ouvre la voie à un contrôle complet et persistant » souligne-t-il.
La défaillance du modèle de confiance des plateformes collaboratives
L’utilisation de Hugging Face comme vecteur de diffusion du RAT n’est pas un hasard. La plateforme bénéficie d’une immense confiance de la part des infrastructures réseau et des solutions de sécurité.
Les attaquants exploitent cette réputation en utilisant une couche d’obscurcissement réseau astucieuse. Le processus commence par un premier contact avec un domaine tiers qui redirige ensuite l’utilisateur vers Hugging Face pour le téléchargement final de l’APK.
Puisque le fichier provient d’un domaine reconnu mondialement, les pare-feu et les solutions de sécurité mobile sont moins enclins à bloquer le flux de données.
Hugging Face analyse déjà les dépôts avec l’antivirus ClamAV. Pourtant, cette mesure s’est révélée dérisoire face à cette campagne.
Le scan par signature de ClamAV est incapable de détecter des APK repackés en boucle avec un tel polymorphisme. De plus, bien que la plateforme soit destinée à l’IA, elle permet l’hébergement de fichiers sans rapport direct comme des exécutables Windows ou Android.
Ce manque de filtrage sur la nature des fichiers téléversés a été le talon d’Achille exploité par les hackers. Pour l’avenir, les experts s’accordent sur la nécessité de mesures organisationnelles plus strictes.
« L’approche consiste à cibler les schémas suspects plutôt que l’ensemble de l’écosystème. Se concentrer sur les types de fichiers à haut risque et, par exemple, appliquer un mécanisme de limitation de débit (rate limiting) pour les nouveaux comptes générant un trafic inhabituellement élevé.» préconise Silviu Stahie.
Une infrastructure agile face à la résilience des attaquants
Malgré la suppression régulière des dépôts par les équipes de Hugging Face, la campagne reste active.
Les chercheurs de Bitdefender observent une forte résilience de l’infrastructure du RAT.
Les attaquants déplacent régulièrement leurs points d’appui. L’infrastructure passa de domaines comme TrustBastion à Premium Club, sans interruption majeure de service.
Les opérateurs du RAT centralisent plusieurs fonctions critiques. En centralisant la redirection, la distribution des configurations et l’exfiltration des données sur un nombre limité de serveurs critiques, les attaquants simplifient leur déploiement et réduisent leurs coûts.
Ils parient sur la vitesse de leur automatisation, toujours supérieure à la vitesse de réaction des modérateurs humains et des algorithmes de détection statique.
Le dernier rempart reste le comportement de l’utilisateur. La chaîne d’infection repose presque exclusivement sur le « sideloading ». Cela signifie l’installation d’applications en dehors des magasins officiels comme Google Play.
Néanmoins, certaines bonnes pratiques permettent de réduire le risque. Ne jamais installer d’applications « de sécurité » provenant de publicités ou de pop-ups affirmant que votre téléphone est infecté.
Ne pas installer d’applications via sideloading sur recommandation d’un site web ou d’un écran « mise à jour requise » aléatoire. Les mises à jour légitimes proviennent de Google Play ou des paramètres système.
« Considérer toute application demandant l’activation des services d’accessibilité comme un signal d’alerte majeur. Se méfier des applications demandant une combinaison de permissions telles que accessibilité, superposition d’écran, enregistrement d’écran, etc. » dixit Stahie.
Restez à la pointe de l'information avec LEBIGDATA.FR !
- Partager l'article :
