Le code source complet d’ERMAC (v3.0) a été exposé en ligne à la suite d’une mauvaise configuration serveur. Cette divulgation fragilise l’écosystème Malware‑as‑a‑Service et donne aux défenseurs les moyens d’améliorer la détection et la neutralisation des campagnes actives.
CorpsBlog
Comment la fuite a été découverte
En auditant Internet à la recherche de serveurs mal configurés, des chercheurs ont trouvé un répertoire public, sans mot de passe, contenant l’archive « Ermac 3.0.zip » avec l’intégralité du code et de l’infrastructure du malware. ERMAC, apparu en 2021 et largement inspiré de Cerberus, cible les smartphones Android et était loué par abonnement mensuel à des affiliés.
Pourquoi ERMAC est redoutable
Superposition d’écrans (overlay) imitant les applis bancaires pour voler identifiants et mots de passe.
Étendue des cibles : plus de 700 applications visées (contre 378 au départ).
Capacités élargies : lecture/vol de SMS, contacts, identifiants enregistrés, consultation de mails, téléchargement de fichiers, envoi de SMS, détournement d’appels, prise de photos, contrôle d’apps, faux notifications, wipe à distance pour s’effacer.
Conséquences pour l’écosystème criminel
La fuite du code source facilite l’ingénierie défensive : amélioration des signatures, règles de détection, IOC/IOA plus précis, et perturbation des serveurs de commande encore actifs. Elle entame aussi la confiance entre vendeurs et affiliés : l’intérêt financier du service peut s’éroder si les attaques sont plus vite détectées et bloquées.
Que faire si vous pensez être infecté ?
Passez en mode avion pour couper données/voix, puis sauvegardez vos photos/contacts hors ligne.
Désinstallez l’app suspecte (Paramètres > Applications) et révoquez ses permissions d’accessibilité/overlay.
Analysez l’appareil avec un antivirus mobile reconnu ; supprimez toute détection.
Changez vos mots de passe à partir d’un appareil sain ; privilégiez un gestionnaire de mots de passe.
Contactez votre banque pour surveiller/faire oppositions et activer des alertes de transactions.
Réinitialisez l’appareil (si doute persistant) et restaurez uniquement des sauvegardes de confiance.
À retenir en 30 secondes
Le code source d’ERMAC v3.0 a fuité : opportunité pour renforcer la détection et démanteler l’infra.
Le malware vise >700 apps et excelle dans le vol d’identifiants via faux écrans bancaires.
Adoptez des pratiques d’hygiène numérique strictes et préparez une réponse en cas de suspicion d’infection.
