Étiquette : 1

Des pirates ont analysé 1,8 million de fichiers APK Android à la recherche de secrets codés en dur, démontrant ainsi pourquoi les développeurs ont besoin d’une gestion des identifiants et d’une sécurité des versions de production plus robustes.

Les développeurs viennent de recevoir un nouvel avertissement : une fois qu’un secret est intégré à une application, un attaquant n’a pas forcément besoin de pirater un serveur pour le trouver.

Selon Anthropic, un acteur malveillant francophone a utilisé un système distribué pour télécharger, décompiler et analyser 1,8 million de fichiers APK Android à la recherche d’identifiants et autres données sensibles codées en dur, notamment grâce à des outils comme TruffleHog. BleepingComputer a établi un lien entre cet acteur et l’écosystème ShinyHunters.

Cette opération montre comment des attaquants peuvent transformer une erreur de codage sécurisé courante en une chasse aux identifiants industrialisée, combinant infrastructure cloud, outils de sécurité automatisés et IA pour identifier à grande échelle les voies d’accès potentielles aux systèmes d’entreprise.

Le danger ne se limite pas à la divulgation accidentelle d’une clé API par les développeurs. En combinant l’IA avec l’infrastructure cloud et les outils de sécurité automatisés, les attaquants pourraient automatiser une grande partie des tâches répétitives de recherche, de validation et d’utilisation des identifiants.

Une chasse aux identifiants de 1,8 million d’applications

Selon le rapport d’Anthropic , l’opération s’est déroulée sur huit mois, de décembre 2025 à août 2026. Durant cette période, la société d’IA affirme avoir découvert un schéma de piratage inhabituel touchant 1,8 million de fichiers APK Android distincts téléchargés depuis plusieurs boutiques.

L’équipe de renseignement sur les menaces d’Anthropic a révélé que ces APK s’exécutaient sur 10 nœuds de calcul AWS EC2, créant ainsi un pipeline distribué pour inspecter les applications à grande échelle.

Les fichiers APK ont été décompilés et analysés. Un système dédié a transmis en temps réel les résultats pertinents aux chaînes Telegram et les a classés dans plus de 100 catégories, tandis qu’un autre système a envoyé les jetons d’accès personnels (PAT) GitHub. 

Cette configuration illustre comment l’infrastructure cloud, les outils d’analyse automatisés et l’IA peuvent être combinés pour accélérer la découverte d’identifiants dans de vastes collections de logiciels.

Dans un scénario observé, Anthropic indique que les attaquants ont obtenu plus de 2 100 ensembles de jetons d’authentification Azure AD auprès de plus de 40 utilisateurs d’entreprise en environ 34 heures, tandis qu’une autre intrusion est passée d’un seul jeton de développeur volé à un contrôle administratif en environ trois heures.

Le chiffre de 1,8 million fait référence aux fichiers APK traités par le système d’analyse, et non à 1,8 million d’applications compromises confirmées. L’objectif était d’identifier les secrets intégrés susceptibles de donner accès aux systèmes des développeurs ou des entreprises.

Acteur francophone lié à l’écosystème ShinyHunters

La campagne illustre également comment le vol d’identifiants peut entraîner des compromissions majeures sans pour autant reposer sur une nouvelle vulnérabilité logicielle.

Anthropic a cité une opération menée par un acteur francophone que BleepingComputer associe à l’ écosystème ShinyHunters . Parmi les pseudonymes utilisés figurent frkoo, MeowSHA et blazespider. 

Le groupe n’agissait pas non plus de manière isolée. Le rapport d’Anthropic documentait également des activités de menaces distinctes, menées par des personnes russophones et sinophones, impliquant Claude, bien que ces cas soient différents de l’opération d’analyse des fichiers APK Android.

L’activité liée à la Russie a pris une autre direction. Anthropic a associé un groupe de pirates à Midnight Blizzard, qui utilisait Claude pour des tâches telles que le développement de logiciels malveillants, le phishing, la persistance et l’exfiltration de données, ciblant des organisations gouvernementales, de défense, diplomatiques et de renseignement.

Un autre groupe sinophone, suivi par Anthropic sous le nom de GTG-10007, a suivi des voies similaires à celles du groupe russe, utilisant Claude pour la reconnaissance, la recherche de vulnérabilités, le développement d’exploits et les tentatives d’intrusion.

Anthropic affirme avoir banni les comptes compromis et renforcé la sécurité de Claude , tirant les leçons de cet incident pour contrer l’attaque. Le créateur de Claude précise également avoir contacté les forces de l’ordre.

L’avertissement ne concerne pas uniquement les développeurs d’applications.

Depuis des années, des pirates informatiques décompilent des fichiers APK pour modifier des applications , contourner les systèmes de paiement ou ajouter des fonctionnalités que les développeurs n’avaient jamais prévues. Cette campagne démontre que cette même capacité peut être utilisée à des fins bien plus graves.

Cela devrait inciter les développeurs, les fournisseurs et les organisations à considérer tout élément légitimement accessible au public comme potentiellement exploitable par un attaquant. Cela concerne non seulement les applications mobiles, mais aussi les sites web, les extensions de navigateur, les logiciels de bureau, les scripts, les dépôts publics, les images de conteneurs et autres artefacts logiciels.

Ce même principe peut s’appliquer au matériel. Si des attaquants parviennent à décompiler un logiciel pour en découvrir les failles et les identifiants, le matériel reposant sur des micrologiciels, des logiciels embarqués et des interfaces exposées peut également devenir un point d’entrée.

Pour les développeurs et les fournisseurs, la réponse devrait aller au-delà de la simple protection des secrets hors du code :

• Déplacez les opérations sensibles hors de l’appareil. Toute opération nécessitant des identifiants privilégiés doit être effectuée sur une infrastructure qu’un utilisateur public ne peut ni télécharger ni consulter.
• Vérifiez ce que vous déployez réellement . Examinez les versions de production, les cartes sources, les fichiers de configuration, les points de terminaison de débogage et les dépendances intégrées, et pas seulement le code source de l’application.
• Conception pour gérer les défaillances d’authentification . Un jeton volé doit avoir des permissions limitées, une durée de vie utile courte et aucun accès inutile à des systèmes non liés.
• Surveillez les abus après la mise en production . Suivez les appels API inhabituels, les tentatives d’authentification, l’utilisation des jetons et les schémas d’accès afin de détecter une vulnérabilité compromise avant de la découvrir des mois plus tard.
• Considérez vos fournisseurs comme faisant partie de votre surface d’attaque . Examinez les SDK et les intégrations que vous utilisez, en vérifiant leurs droits d’accès et les données qu’ils exposent.

Pour les équipes de sécurité, la leçon principale est que la mise à disposition d’une application doit être considérée comme une limite potentielle de divulgation. Tout élément inclus dans un logiciel téléchargeable peut être inspecté, extrait et exploité par des systèmes automatisés.

Cela confère au scan des secrets, à la rotation des identifiants, au principe du moindre privilège et à la revue des versions de production des dimensions qui dépassent le simple cadre de l’hygiène de développement. Dès lors que les attaquants peuvent automatiser la détection des failles de sécurité dans des millions d’applications, un simple identifiant oublié peut devenir le chemin le plus court entre une application publique et un système d’entreprise privé.

https://www.esecurityplanet.com/threats/news-android-apps-hardcoded-secrets-credential-scanning