Dossier gtig-promptspy-androidMalware assisté par IAMondial
La porte dérobée Android PROMPTSPY laisse Gemini piloter l'écran et bloquer la désinstallation
Le GTIG a approfondi les conclusions d'ESET sur PROMPTSPY : un GeminiAutomationAgent sérialise l'interface via l'Accessibilité, l'envoie à gemini-2.5-flash-lite et exécute les tapotements et balayages renvoyés ; une superposition masque le bouton Désinstaller.
ÉlevéeAttaque avec l’IAStatut: ContenuDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 11 mai 2026
- Lieu
- Mondial
- Cible
- Utilisateurs Android hors Google Play
- Gravité
- Élevée
- Déclenché par
- Inconnu
- Type d’acteur
- Criminel
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
Le GTIG a approfondi les conclusions d'ESET sur PROMPTSPY : un GeminiAutomationAgent sérialise l'interface via l'Accessibilité, l'envoie à gemini-2.5-flash-lite et exécute les tapotements et balayages renvoyés ; une superposition masque le bouton Désinstaller.
Impact: Contrôle autonome de l'appareil et capture d'identifiants sur les téléphones infectés ; nombre d'infections non publié.
Qui l’a déclenché
Acteur: Inconnu
Attribution: Identifié initialement par ESET ; le GTIG n'a pas attribué d'opérateur.
Mobile: Prise de contrôle de l'appareil et capture d'identifiants
Comment c’est arrivé
Vecteur d’attaque: Porte dérobée installée hors store utilisant l'API Gemini pour une interaction autonome avec l'interface et le rejeu de gestes biométriques
Cause racine: L'API d'Accessibilité et un LLM public fournissent un agent d'automatisation générique sur l'appareil ; clés d'API renouvelées via le C2
Chronologie
- ESET rapporte PROMPTSPY pour la première fois
- Le GTIG publie une analyse étendue et désactive les ressources associées
Réponse
Google a désactivé les ressources ; aucune application trouvée sur Google Play ; Play Protect bloque les versions connues.
Statut actuel: Contenu
Sources (nouvel onglet)
- GTIG AI Threat Tracker May 2026 cloud.google.com
- Secure Blink coverage secureblink.com
Citer ce dossier
La porte dérobée Android PROMPTSPY laisse Gemini piloter l'écran et bloquer la désinstallation. AI Threat Watch, dossier gtig-promptspy-android, 11 mai 2026. https://aithreat.io/fr/cases/gtig-promptspy-android/
Lien permanent: https://aithreat.io/fr/cases/gtig-promptspy-android/