--- title: "Spyware mobile : une campagne usurpe l’identité du système d’alerte Red Alert d’Israël" description: L'Acronis Threat Research Unit (TRU) a identifié une campagne ciblée distribuant une version infectée par un cheval de Troie de l'application Android d'alerte aux roquettes Red Alert aux utilisateurs israéliens, via des SMS imitant les communications officielles du Commandement du front intérieur. canonical_url: https://www.acronis.com/fr/tru/posts/mobile-spyware-campaign-impersonates-israels-red-alert-rocket-warning-system/ locale: fr last_updated: 2026-10-11 --- * [Accueil](https://www.acronis.com/fr/tru/) * [Tous les articles](https://www.acronis.com/fr/tru/posts/) * [Subhajeet Singha](https://www.acronis.com/fr/tru/authors/singha-subhajeet/) 24 mars 2026 # Spyware mobile : une campagne usurpe l’identité du système d’alerte Red Alert d’Israël L'Acronis Threat Research Unit (TRU) a identifié une campagne ciblée distribuant une version infectée par un cheval de Troie de l'application Android d'alerte aux roquettes Red Alert aux utilisateurs israéliens, via des SMS imitant les communications officielles du Commandement du front intérieur. Auteur: **[Subhajeet Singha](https://www.acronis.com/fr/tru/authors/singha-subhajeet/)** Autres langues disponibles :[English](https://www.acronis.com/en/tru/posts/mobile-spyware-campaign-impersonates-israels-red-alert-rocket-warning-system/) [Deutsch](https://www.acronis.com/de/tru/posts/mobile-spyware-campaign-impersonates-israels-red-alert-rocket-warning-system/) [Español](https://www.acronis.com/es/tru/posts/mobile-spyware-campaign-impersonates-israels-red-alert-rocket-warning-system/) [Italiano](https://www.acronis.com/it/tru/posts/mobile-spyware-campaign-impersonates-israels-red-alert-rocket-warning-system/) [日本語](https://www.acronis.com/ja/tru/posts/mobile-spyware-campaign-impersonates-israels-red-alert-rocket-warning-system/) [Português](https://www.acronis.com/pt/tru/posts/mobile-spyware-campaign-impersonates-israels-red-alert-rocket-warning-system/) [Svenska](https://www.acronis.com/sv/tru/posts/mobile-spyware-campaign-impersonates-israels-red-alert-rocket-warning-system/) ## Résumé * L'Acronis Threat Research Unit (TRU) a identifié une campagne ciblée distribuant une version infectée par un cheval de Troie de l'[application Android d'alerte aux roquettes Red Alert](https://redalert.me/index_en.html)aux utilisateurs israéliens, via des SMS imitant les communications officielles du [Commandement du front intérieur](https://www.idf.il/en/mini-sites/home-front-command/). * L'application malveillante conserve toutes les fonctionnalités d'alerte de tir de roquette, ce qui lui permet de sembler légitime tout en exécutant du code malveillant en arrière-plan. * L’acteur malveillant a utilisé des techniques d’usurpation de certificats et de manipulation de l’exécution pour contourner les contrôles de sécurité d’Android et faire croire que l’application était légitimement signée. * Une fois installé, le malware surveille les autorisations accordées et commence à collecter des données sensibles, notamment les SMS, les contacts, les données de localisation, les comptes du terminal et les applications installées. * Les données volées sont stockées localement et transmises en continu à un serveur de commande et de contrôle (C2) à distance contrôlé par les attaquants. * Cette campagne montre comment des services d'urgence de confiance peuvent être utilisés comme des armes en période de tensions géopolitiques, combinant l'ingénierie sociale et l'espionnage mobile pour abuser de la confiance des utilisateurs et maximiser l'impact. ## Introduction L'Acronis Threat Research Unit (TRU) surveille activement les campagnes de malwares et les activités liées aux menaces qui exploitent les récents développements géopolitiques au Moyen-Orient pour infecter les utilisateurs. Au cours de notre enquête, la TRU a identifié une campagne ciblée distribuant une version infectée par un cheval de Troie de l'application Android d'alerte aux [roquettes Red Alert](https://redalert.me/index_en.html) aux utilisateurs israéliens, via des SMS imitant les communications officielles du Commandement du front intérieur, visant des individus israéliens. Cette activité s'est distinguée par l'utilisation d'un leurre sur le thème de l'urgence, découvert par nos chercheurs le 1er mars lors d'une recherche de menaces malveillantes, et signalé par de nombreux citoyens israéliens sur les réseaux sociaux. L'application infectée par un cheval de Troie imite l'application légitime Red Alert — Israel (צבע אדום), utilisée par des millions de citoyens israéliens pour recevoir des alertes en temps réel en cas de tirs de roquettes et de missiles. Cela en fait un vecteur d'ingénierie sociale particulièrement efficace. En période de conflit actif, l'urgence d'installer ou de mettre à jour une telle application l'emporte sur la prudence que les utilisateurs pourraient autrement exercer, surtout lorsque le message livré semble provenir du Commandement du Front intérieur (פיקוד העורף). Ce rapport présente une analyse détaillée de l'ensemble de la chaîne d'infection, depuis l'envoi initial du SMS jusqu'à l'exécution de la distribution et le déploiement de la charge active du logiciel espion intégré. ## Contexte et arrière-plan De nombreux acteurs malveillants régionaux, allant des groupes de cyberactivistes aux opérateurs alignés sur des États-nations, ont ciblé des individus et des organisations au-delà des frontières nationales. Leurs activités ont notamment inclus des attaques par déni de service distribué (DDoS), des tentatives d'intrusion dans des infrastructures critiques et d'autres opérations perturbatrices. Des groupes tels que Handala et d'autres acteurs affiliés au VEVAK se sont particulièrement distingués ces dernières années. Sur le plan opérationnel, nous avons, en suivant ce groupe d'activités, découvert de nombreux témoignages de personnes affirmant avoir reçu des messages contenant des liens raccourcis pour télécharger et installer un logiciel principalement utilisé comme mécanisme d'alerte en cas de frappes de roquettes. Une attaque similaire, attribuée au groupe de cyberactivistes [AnonGhost](https://www.cloudflare.com/cloudforce-one/research/malicious-redalert-rocket-alerts-application-targets-israeli-phone-calls-sms-and-user-information/) en [2023](https://cybernews.com/cyber-war/israel-redalert-breached-anonghost-hamas/), présente des similitudes frappantes, bien que l'attaque que nous avons analysée semble contenir une nouvelle infrastructure et du code dans certaines parties. ## Chaîne d'infection ![Image 1: Chaîne d'infection de la campagne](https://staticfiles.acronis.com/images/content/51a59805dff1d7dc278280d5a0844413.png) Chaîne d'infection de la campagne ## Détails techniques ## Analyse initiale et mécanisme de livraison Notre enquête a débuté après l'identification d'une campagne de hameçonnage par SMS (smishing) ciblant des citoyens israéliens. La campagne a utilisé des SMS se faisant passer pour le service officiel d'alerte aux roquettes **« Oref Alert »**, invitant les destinataires à installer une version mise à jour de l'application en raison d'un prétendu dysfonctionnement des alertes. Les messages, envoyés à partir d'identifiants d'expéditeur falsifiés, contenaient un lien raccourci bit.ly qui redirigeait les victimes vers le téléchargement d'un fichier APK infecté par un cheval de Troie, se faisant passer pour l'application Red Alert légitime. ![Image 2: Des citoyens israéliens signalent avoir reçu des SMS d'Oref Alert.](https://staticfiles.acronis.com/images/content/9e42e64bf6afd9fa67ff9a46adb50d90.png) Des citoyens israéliens signalent avoir reçu des SMS d'Oref Alert. L'utilisation de services de raccourcissement de liens, associée à l'urgence de mettre à jour une application existante liée à la sécurité publique, nous a incités à analyser l'application malveillante, ses capacités et l'infrastructure utilisée pour contrôler le malware et exfiltrer les données et les informations d'identification collectées. ## Chronologie **16/10/2023** Campagne d'alerte rouge précédente (AnonGhost) Une précédente campagne d'alerte rouge, attribuée à AnonGhost lors de l'escalade d'octobre 2023, a été infectée par un cheval de Troie. **23/06/2025** Domaine C2 enregistré ra-backup[.]com a été enregistré via Namecheap Inc. Une nouvelle infrastructure jetable pour cette campagne. **01/03/2026** APK initialement soumis à VirusTotal SHA256 a été vu pour la première fois sur VT à 12:44:22 UTC. 3/65 détections au moment de la soumission. **01/03/2026** TRU découvre la campagne Acronis TRU a identifié la campagne de smishing lors d'une recherche de menaces, en se basant sur des rapports SMS de citoyens israéliens. **01/03/2026** Messages SMS d'appât signalés Des citoyens israéliens ont signalé avoir reçu des SMS provenant d'un identifiant d'expéditeur usurpé, Oref Alert, contenant des liens bit.ly vers un APK infecté par un cheval de Troie. **02/03/2026** Analyse APK effectuée Analyse statique et dynamique complète de RedAlert.apk effectuée ; terminal C2 décodé, capacités documentées. ## Aperçu de l'échantillon et métadonnées Nom de l'appli : **RedAlert.apk** Nom du paquet : **com.red.alertx** Hachage SHA256 : **83651b0589665b112687f0858bfe2832ca317ba75e700c91ac34025ee6578b72** ![Image 3: Analyse statique du fichier APK](https://staticfiles.acronis.com/images/content/5241dd48461248f4e60826aa2065a5d4.png) Analyse statique du fichier APK Nous avons, en examinant le fichier **AndroidManifest.xml**, constaté que l'application implique un total de 20 autorisations. Parmi celles-ci, six sont utilisées de manière que nous considérons sensible à la sécurité du fait de leur potentiel d'abus. Le spyware exploite ces autorisations pour collecter et exfiltrer les données des utilisateurs. **Autorisation** **Description** **Risque de collecte de données** **ACCESS_FINE_LOCATION** Permet d'accéder à une localisation GPS précise. Permet de suivre en temps réel la localisation physique de la victime. **READ_SMS** Permet l'accès aux SMS. Peut être utilisé à mauvais escient pour intercepter des codes de vérification, des messages bancaires et des communications privées. **READ_CONTACTS** Permet d'accéder à la liste de contacts du terminal. Permet de collecter des contacts personnels à des fins de profilage ou de ciblage. **GET_ACCOUNTS** Permet d'accéder aux comptes enregistrés sur le terminal. Peut révéler des comptes de messagerie ou de service associés. **RECEIVE_BOOT_COMPLETED** Permet à l'appli de démarrer automatiquement après le redémarrage du terminal. Permet la persistance en relançant le malware après le redémarrage du terminal. **SYSTEM_ALERT_WINDOW** Permet de superposer des dessins sur d'autres applications. Souvent utilisé pour créer des superpositions d'hameçonnage et des attaques de collecte d'identifiants. Dans ce cas, il imite l'application d'origine en émettant des alertes. ![Image 4: Autorisations sensibles à la sécurité identifiées dans le fichier AndroidManifest.xml grâce à une analyse statique](https://staticfiles.acronis.com/images/content/a54a684bcac18534d1d5cade4d1b51af.png) Autorisations sensibles à la sécurité identifiées dans le fichier AndroidManifest.xml grâce à une analyse statique La combinaison des autorisations de superposition et de l'accès aux SMS est fréquemment observée dans les chevaux de Troie bancaires Android et les campagnes de logiciels espions, permettant aux attaquants d'exfiltrer des messages sensibles tels que les mots de passe à usage unique (One-time password, OTP). ## Architecture à double phase ![Image 5: Analyse de code – I](https://staticfiles.acronis.com/images/content/e216a90c9fabcaf33ad8e886988bc7ce.png) Analyse de code – I Nous avons initialement, en analysant le code et en renommant les classes et méthodes qui contenaient des identifiants obfusqués, identifié que l'application ne fonctionnait pas seulement comme un logiciel espion, mais aussi comme un chargeur. Nous avons donc renommé la classe en **IPackageManagerSignatureProxyLoader**, qui intercepte l'**IPackageManager** du système à l'aide d'un proxy dynamique. Il accède à **ActivityThread** par réflexion et remplace le champ **sPackageManager** d'origine par son propre objet proxy. Cela permet à l'appli d'intercepter les appels système tels que **getPackageInfo()** et de modifier les données renvoyées. Lorsque le système demande la signature de l'application, le chargeur la remplace par une signature falsifiée, permettant ainsi au paquet malveillant **(****com.red.alertx****)** de se faire passer pour l'application légitime. Le certificat utilisé pour l'usurpation est codé en dur au format Base64. La chaîne Base64 est décodée et convertie en un objet **Signature[]** dans **IPackageManagerSignatureProxyLoader** et dans la classe séparée **FakeSignatureProvider**. Le **FakeSignatureProvider** cible spécifiquement les versions Android les plus récentes en remplaçant des méthodes telles que **getApkContentsSigners()** et **getSigningCertificateHistory()** de l'API **SigningInfo**. Cela confirme que le malware prend en charge les mécanismes de vérification de signature Android, quelle que soit leur ancienneté. De plus, le chargeur usurpe également la source de l'installateur en forçant **getInstallerPackageName()** à renvoyer **com.android.vending**, donnant ainsi l'impression que l'application a été installée depuis Google Play. La deuxième phase du code consiste à charger l'application originale et légitime depuis le dossier des ressources. Le fichier nommé **umgdn** est extrait et écrit dans le répertoire privé de l'application, sous **/data/user/0/com.red.alertx/files/****.** Après avoir écrit le fichier, le chargeur modifie des champs internes du runtime Android tels que **mAppDir**, **sourceDir** et **publicSourceDir** dans **ActivityThread**. Cela oblige le système Android à exécuter l'application légitime extraite, plutôt que le paquet de distribution visible. L'application continue ainsi de fonctionner normalement et d'afficher de vraies alertes, tandis que le composant logiciel espion caché s'exécute silencieusement en arrière-plan. ## Fonctionnalités ![Image 6: Analyse de code – II](https://staticfiles.acronis.com/images/content/b2d902bf476836752f124e94916245ec.png) Analyse de code – II La fonctionnalité initiale de ce composant logiciel espion est activée dès que l'utilisateur autorise l'envoi de SMS. Comme le montre l'extrait de code, la méthode **onSmsPermissionGranted()** substituée appelle une fonction qui interroge **Telephony.Sms.CONTENT_URI**, ce qui donne accès à l'intégralité de la base de données SMS du dispositif. ![Image 7: Analyse de code – III](https://staticfiles.acronis.com/images/content/2ebad9b898e4ec883243ef25b78bdb5f.png) Analyse de code – III La fonctionnalité suivante de ce malware est d'accéder à la liste de contacts du terminal immédiatement après l'autorisation d'accès aux contacts. Comme observé dans la méthode **onContactsPermissionGranted()** remplacée, le logiciel espion interroge **ContactsContract.Contacts.CONTENT_URI**, qui permet d'accéder aux contacts stockés sur le terminal. Cela confirme que le malware surveille activement les autorisations et déclenche immédiatement les routines de collecte de données. Une analyse plus poussée révèle que le processus de collecte de contacts ne se limite pas aux noms simples. Le logiciel espion effectue plusieurs requêtes auprès de fournisseurs de contenu pour extraire les numéros de téléphone et les adresses e-mail associés, généralement via les URI de contenu **CommonDataKinds.Phone** et **CommonDataKinds.Email**. Cela permet au malware de constituer un ensemble de données structuré contenant les noms des contacts, les numéros de téléphone, les adresses e-mail et éventuellement des métadonnées supplémentaires liées à chaque entrée. ![Image 8: Analyse de code – IV](https://staticfiles.acronis.com/images/content/f1e85265a0742ddd592a8aa6ceb4f2e2.png) Analyse de code – IV Le malware accède également aux informations GPS et de localisation du terminal, et les utilise pour déterminer le moment où certaines actions doivent être exécutées. Dans la méthode **Maynt()**, il récupère la position actuelle du terminal grâce à une fonction d'aide qui appelle en interne le composant de gestion de la localisation de l'application. Il récupère ensuite un autre ensemble de coordonnées qui représentent probablement une zone cible prédéfinie, comme une ville spécifique ou une zone d'alerte. Le malware calcule la distance entre la position GPS actuelle de la victime et cette cible en utilisant l'API de localisation d'Android. Si le terminal se trouve dans un rayon configuré, la fonction permet de poursuivre les opérations. Cela signifie que le logiciel espion ne se contente pas de collecter des données de localisation, mais utilise activement les informations GPS du terminal pour déclencher des comportements en fonction de l'emplacement de la victime. ![Image 9: Analyse de code – V](https://staticfiles.acronis.com/images/content/199e339013a53dcb48de6f7abdb25ae9.png) Analyse de code – V Ensuite, en examinant les autres fonctionnalités, le malware implémente également une fonctionnalité d'extraction de compte à l'aide d'**AccountManager** d'Android. Dans la méthode **Shatters()**, le logiciel espion résout et appelle dynamiquement une méthode interne de la classe **AccountManager** grâce à la réflexion Java. Plutôt que de directement appeler **getAccounts()**, il récupère le nom de la méthode à l'exécution et l'exécute de manière programmatique. Cette technique est utilisée pour dissimuler les comportements malveillants, ce qui complique les efforts d'analyse statique. Le résultat renvoyé est converti en un tableau d'objets **Account[]**, confirmant que le malware récupère la liste complète des comptes enregistrés sur le terminal. Ces comptes incluent généralement les comptes Google, les comptes de messagerie, les services de messagerie instantanée et d'autres applications intégrées au système de comptes Android. ![Image 10: Analyse de code – VI](https://staticfiles.acronis.com/images/content/a709fbdea0b7a8725f0458321e2da971.png) Analyse de code – VI Une autre capacité importante de ce malware est de répertorier toutes les applications installées sur le terminal infecté. Dans la méthode **Unflush()**, le logiciel espion récupère le **PackageManager** du système et demande la liste complète des applications installées à l'aide d'un indicateur de métadonnées. Il parcourt ensuite chaque entrée **ApplicationInfo** et construit un objet JSON structuré pour chaque application. Ces entrées sont rassemblées dans un tableau et transmises au serveur distant par lots de 200 applications, les entrées restantes étant envoyées une fois la boucle terminée. Ce comportement confirme que le malware effectue une reconnaissance systématique des logiciels installés sur le terminal, permettant à l'attaquant de profiler l'environnement numérique de la victime, d'identifier les outils de sécurité, les applications financières, les plateformes de messagerie et d'autres cibles de grande valeur. ## Obfuscation et anti-analyse Lors de l'analyse, nous avons constaté que l'application est obfusquée et encodée à plusieurs reprises afin de résister à l'analyse statique et à la rétro-ingénierie. La plupart des chaînes de caractères sont encodées en Base64, puis décryptées à l'exécution à l'aide d'une clé XOR unique de 32 octets pour chaque chaîne de caractères dans le code, empêchant ainsi les analystes d'extraire facilement des constantes significatives telles que des URL ou des actions d'intention. Les noms de méthodes et de classes ont par ailleurs été renommés de manière agressive en identifiants aléatoires, et des fonctions d'encapsulation triviales sont insérées pour masquer le flux de contrôle réel. ## Infrastructure de commande et de contrôle L'infrastructure de commande et de contrôle (C2) est intégrée directement dans l'application et protégée par une obfuscation de chaînes de caractères en plusieurs couches. L'URL est stockée au format Base64 et chiffrée à l'aide d'une clé XOR de 32 octets, décodée à l'exécution. Une fois déchiffrée, le point de terminaison se résout en **hxxps://api[.]ra-backup[.]com/analytics/submit[.]php**, confirmant ainsi que toutes les données collectées sont envoyées au serveur de commande et de contrôle. ## Pivotement de l'infrastructure En examinant le domaine C2, on constate qu'il a été enregistré via Namecheap et créé mi-2025, ce qui en fait une infrastructure relativement récente. Il s'agit d'un modèle courant pour les domaines C2 jetables créés pour des campagnes spécifiques. Le sous-domaine **api[.]ra-backup[.]com** héberge le terminal d'exfiltration à l'adresse **/analytics/submit.php**, qui renvoie actuellement une erreur 404. Cela suggère que le serveur de commande et de contrôle est soit protégé par des en-têtes de requête spécifiques, soit désactivé. ## Attribution Sur la base des preuves disponibles, nous estimons que cette campagne pourrait être liée à Arid Viper (également connu sous le nom d'APT-C-23). Cette évaluation est étayée par plusieurs indicateurs, notamment l'utilisation d'une application Android infectée par un cheval de Troie, la focalisation sur des cibles israéliennes et la présence de fonctionnalités de logiciels espions correspondant aux capacités précédemment attribuées à ce groupe. Bien que ces indicateurs ne soient pas propres à Arid Viper et aient été observés dans d'autres campagnes de surveillance Android, la convergence des modèles de ciblage, des caractéristiques des outils et du comportement opérationnel suggère un lien possible avec cet acteur malveillant. ## Conclusion Cette campagne montre comment des infrastructures d'urgence fiables peuvent être utilisées en temps de conflit pour renforcer l'efficacité de l'ingénierie sociale et faciliter la collecte de données. En intégrant un logiciel espion dans une application d'alerte entièrement fonctionnelle, les opérateurs ont pu préserver la confiance des utilisateurs tout en collectant discrètement des informations sensibles. La combinaison d'une distribution ciblée, de capacités de logiciels espions et de multiples couches d'obfuscation suggère un acteur malveillant compétent et bien équipé, ayant des objectifs clairs. ## MITRE ATT&CK **Tactique** **ID** **Technique** **Procédure** Accès initial T1660 Phishing Smishing via un SMS usurpé du Commandement du Front Intérieur avec un lien bit.ly vers un APK infecté par un cheval de Troie. Exécution T1658 Exploitation pour l'exécution du client La victime télécharge l'application RedAlert.apk, qui contient un cheval de Troie, via un SMS malveillant. Persistance T1624.001 Exécution déclenchée par un événement ​: récepteurs de diffusion RECEIVE_BOOT_COMPLETED relance le malware suite au redémarrage. Contournement des défenses T1406.002 Fichiers ou informations obfusqués ​: emballage logiciel Le chargeur extrait l'application légitime des ressources (umgdn) et l'exécute comme couverture. Contournement des défenses T1406 Fichiers ou informations obfusqués Chiffrement des chaînes avec Base64 + clé XOR de 32 octets ​; noms de classes/méthodes aléatoires. Contournement des défenses T1632.001 Subversion des contrôles de confiance ​: modification de la politique de signature de code Proxy dynamique intercepte IPackageManager pour falsifier la signature de l'application et usurper l'origine du Play Store. Contournement des défenses T1630.001 Suppression des indicateurs sur le terminal : désinstallation de l'application malveillante Remplace mAppDir/sourceDir/publicSourceDir pour rediriger l'exécution vers une application légitime. Accès aux identifiants T1417 Capture d'entrée SYSTEM_ALERT_WINDOW permet le phishing d'identifiants par superposition. Découverte T1418 Découverte de logiciels Énumère les applications installées via PackageManager ; exfiltre par lots de 200. Découverte T1426 Découverte d'informations système Invocation d'AccountManager basée sur la réflexion pour collecter les comptes des terminaux. Collecte T1636.004 Données utilisateur protégées : messages SMS Demande l'autorisation à Telephony.Sms.CONTENT_URI pour vider toute la base de données SMS. Collecte T1636.003 Données utilisateur protégées : liste de contacts Collecte des contacts, des numéros de téléphone et des adresses e-mail via les fournisseurs CommonDataKinds. Collecte T1636.001 Données utilisateur protégées : entrées de calendrier L'autorisation GET_ACCOUNTS est utilisée pour répertorier les comptes liés à le terminal. Collecte T1430 Suivi de la localisation Suivi GPS avec exécution conditionnelle géolocalisée via le calcul de proximité. Commande et contrôle T1437.001 Protocole de la couche d'application : protocoles web HTTPS C2 à l'adresse hxxps://api[.]ra-backup[.]com/analytics/submit[.]php. Exfiltration T1646 Exfiltration sur le canal C2 Exfiltration continue des SMS, des contacts, de la localisation, des comptes et de la liste des applications vers l'infrastructure de commande et de contrôle. ## Recommandations et mesures d'atténuation Les mesures d'atténuation suivantes sont recommandées aux personnes et aux organisations susceptibles d'être affectées par cette campagne : * N'installez que des applications provenant de sources officielles. L'application Red Alert officielle est disponible exclusivement sur le Google Play Store. Les utilisateurs ne doivent jamais télécharger des fichiers APK à partir de liens SMS, d'URL raccourcies ou de sites Web tiers, quelle que soit l'urgence apparente du message. * Vérifiez l'identité de l'expéditeur avant d'agir sur les messages SMS. Le Commandement du Front Intérieur ne distribue pas de mises à jour d'applications par SMS contenant des liens raccourcis. Tout message incitant à une mise à jour immédiate de l'application via un lien bit.ly ou similaire doit être considéré comme suspect. * Examinez attentivement les autorisations de l'application. L'application Red Alert légitime ne nécessite que l'accès aux notifications. Si une application se présentant comme Red Alert demande des autorisations pour les SMS, les contacts, la localisation ou la superposition lors de l'installation, il est presque certain qu'elle est malveillante. * Vérifiez les applications installées sur les terminaux potentiellement compromis. Vérifiez la présence du paquet **com.red.alertx** et supprimez-le immédiatement. Une réinitialisation complète aux paramètres d'usine est recommandée en cas d'infection confirmée, car l'architecture en deux phase du malware peut laisser des composants résiduels après une désinstallation standard. * Bloquez les infrastructures C2 connues au niveau du réseau. Les organisations doivent ajouter **ra-backup[.]com** et **api[.]ra-backup[.]com** aux listes de blocage DNS et aux règles de refus des pare-feu. Le terminal C2 **hxxps://api[.]ra-backup[.]com/analytics/submit[.]php**devrait être signalé dans les stratégies de proxy et d'EDR. * Révoquez et renouvelez les identifiants sur les terminaux concernés.Tout compte authentifié sur un terminal compromis doit être considéré comme exposé parce que le malware collecte les SMS (y compris les OTP), les contacts et les comptes du terminal. Changez vos mots de passe et mettez fin aux sessions actives pour vos comptes Google, de messagerie, bancaires et de messagerie instantanée. * Activez Google Play Protect et maintenez-le actif. Play Protect offre une protection supplémentaire contre les APK malveillants téléchargés en parallèle et peut signaler les menaces connues avant l'installation. * Signalez les SMS suspects à CERT-IL et aux autorités nationales compétentes afin de faciliter le suivi des menaces et la neutralisation de l'infrastructure de diffusion. Articles connexes [Actualités Acronis sur les cybermenaces – Juillet 2026](https://www.acronis.com/fr/tru/posts/acronis-cyberthreats-update-july-2026/) [Rapport Acronis sur les cybermenaces – Juin 2026](https://www.acronis.com/fr/tru/posts/acronis-cyberthreats-update-june-2026/) [Rapport Acronis sur les cybermenaces – Mai 2026](https://www.acronis.com/fr/tru/posts/acronis-cyberthreats-update-may-2026/) [Rapport Acronis sur les cybermenaces – Avril 2026](https://www.acronis.com/fr/tru/posts/acronis-cyberthreats-update-april-2026/)