Tag Archives: EviCore HSM

Spyware ClayRat Android : faux WhatsApp espion mobile

dark du spyware ClayRat Android se cachant dans un smartphone face à la défense matérielle DataShielder NFC HSM. Le hacker est éclairé en rouge, la protection est un bouclier bleu.

Spyware ClayRat Android illustre la mutation du cyberespionnage : plus besoin de failles, il exploite nos réflexes humains. Ce billet expose la rupture doctrinale opérée par DataShielder NFC HSM Defence, où le message en clair cesse d’exister dans Android.

Résumé express — Spyware ClayRat Android : un faux WhatsApp, arme d’espionnage

⮞ En bref

Lecture rapide (≈ 4 minutes) : ClayRat Android est un malware polymorphe qui se déguise en applications populaires (WhatsApp, Google Photos, TikTok, YouTube) pour infiltrer les téléphones Android. Il prend le contrôle des SMS, appels, caméras et microphones sans alerte.
Il contourne Android 13+, abuse du rôle SMS par défaut, intercepte les notifications et se propage via la confiance sociale des contacts infectés.
Sa nouveauté ? Il ne s’appuie pas sur une faille technique, mais sur une fausse familiarité.
Face à cette menace, DataShielder NFC HSM Defence supprime la vulnérabilité du clair-texte : le message est chiffré matériellement avant même d’exister pour Android.

⚙ Concept clé

Comment neutraliser un spyware comportemental ?
Freemindtronic répond par une approche souveraine : une édition matérielle du message chiffré dans une interface indépendante d’Android. Chaque frappe est chiffrée dans le HSM NFC avant injection. Aucun texte lisible n’est jamais stocké, ni dans le cache, ni dans la RAM Android.
Cette approche rend tout spyware structurellement aveugle, même s’il dispose d’un accès complet à la mémoire du téléphone.

Interopérabilité

Compatible : Android 10 à 14 — toutes messageries (SMS, MMS, RCS, Signal, Telegram, WhatsApp, Gmail, etc.).
Technologies intégrées : EviCore · EviPass · EviOTP · EviCall — toutes issues du socle souverain DataShielder NFC HSM Defence.

Paramètres de lecture

Temps de lecture résumé express : ≈ 4 minutes
Temps de lecture résumé avancé : ≈ 6 minutes
Temps de lecture chronique complète : ≈ 35 minutes
Dernière mise à jour : 2025-10-14
Niveau de complexité : Avancé / Expert
Densité technique : ≈ 71 %
Langues disponibles : EN · FR
Spécificité linguistique : Lexique souverain – terminologie cryptographique normalisée
Ordre de lecture : Résumé → Mécanique → Impact → Défense souveraine → Doctrine → Sources
Accessibilité : Optimisé lecteurs d’écran — ancres éditoriales incluses
Type éditorial : Chronique stratégiqueDigital Security · Technical News
À propos de l’auteur : Jacques Gascuel, inventeur et fondateur de Freemindtronic Andorra, expert en architectures de sécurité matérielle NFC HSM et concepteur de solutions de souveraineté numérique (EviCore, DataShielder, PassCypher).

Note éditoriale — Cette chronique souveraine évoluera selon les nouvelles itérations du spyware ClayRat et l’évolution des mécanismes Android post-2025.
Schéma illustrant les 8 étapes de l'attaque du spyware ClayRat sur Android : du phishing SMS à l'exfiltration des données vers le serveur C2, en passant par l'abus de confiance sociale et l'obtention des permissions caméra/micro.
Le spyware ClayRat ne s’appuie pas sur une faille technique, mais exploite le réflexe d’installation d’une fausse application pour obtenir les permissions abusives (caméra, micro, SMS) et siphonner les données vers son serveur C2.

Résumé avancé — ClayRat Android et la fin du message en clair

⮞ En détail

ClayRat Android inaugure une nouvelle génération de spywares fondés sur le mimétisme social. Plutôt que d’exploiter une faille technique, il abuse des comportements humains : installation d’APK familiers, acceptation des permissions SMS et caméra, confiance envers les contacts connus. La réponse de DataShielder NFC HSM Defence est systémique : le chiffrement devient une fonction matérielle indépendante, non plus un processus logiciel. Le message n’existe jamais en clair dans Android. Même si ClayRat accède à la mémoire, il ne lit que des flux cryptés.

Principes souverains de défense

  • Isolation matérielle complète (HSM NFC autonome, non adressable par Android)
  • Auto-effacement du clair-texte après chiffrement matériel
  • Compatibilité universelle avec toutes messageries Android
  • Gestion souveraine des contacts et appels via EviCall NFC HSM
  • Auto-purge des historiques (SMS, MMS, RCS) liés aux numéros stockés dans le HSM

Key Insights

  • ClayRat remplace les vecteurs techniques par des leviers comportementaux.
  • Les protections Android 13+ échouent face aux installations par session.
  • La résilience ne réside pas dans le chiffrement post-exposition, mais dans l’absence totale de clair-texte.
  • DataShielder NFC HSM Defence transforme la messagerie en éditeur matériel, rendant tout spyware structurellement aveugle.

*

Image de séparation montrant la dualité de la menace cyber (ombre masquée) et l'échec de la détection face au cyberespionnage mobile.
Le cyberespionnage actuel ne repose plus sur la détection technique, mais sur l’abus de confiance, soulignant l’échec des solutions logicielles classiques.

2025 Digital Security Tech Fixes Security Solutions Technical News

SSH Key PassCypher HSM PGP — Sécuriser l’accès multi-OS à un VPS

2025 Cyberculture Digital Security

Authentification multifacteur : anatomie, OTP, risques

2024 Cyberculture Digital Security

Russian Cyberattack Microsoft: An Unprecedented Threat

2021 Cyberculture Digital Security Phishing

Phishing Cyber victims caught between the hammer and the anvil

2024 Articles Digital Security News

Russian Espionage Hacking Tools Revealed

2024 Digital Security Spying Technical News

Side-Channel Attacks via HDMI and AI: An Emerging Threat

2024 Digital Security Technical News

Apple M chip vulnerability: A Breach in Data Security

2023 Digital Security Phishing

BITB Attacks: How to Avoid Phishing by iFrame

2024 Cyberculture Digital Security News Training

Andorra National Cyberattack Simulation: A Global First in Cyber Defense

Articles Digital Security EviVault Technology NFC HSM technology Technical News

EviVault NFC HSM vs Flipper Zero: The duel of an NFC HSM and a Pentester

Articles Cryptocurrency Digital Security Technical News

Securing IEO STO ICO IDO and INO: The Challenges and Solutions

Articles Cyberculture Digital Security Technical News

Protect Meta Account Identity Theft with EviPass and EviOTP

2023 Articles Cyberculture Digital Security Technical News

Strong Passwords in the Quantum Computing Era

2024 Articles Digital Security News Spying

How to protect yourself from stalkerware on any phone

2023 Articles DataShielder Digital Security Military spying News NFC HSM technology Spying

Pegasus: The cost of spying with one of the most powerful spyware in the world

2024 Articles Compagny spying Digital Security Industrial spying Military spying News Spying Zero trust

KingsPawn A Spyware Targeting Civil Society

2024 Articles Digital Security EviKey NFC HSM EviPass News SSH

Terrapin attack: How to Protect Yourself from this New Threat to SSH Security

Articles Crypto Currency Cryptocurrency Digital Security EviPass Technology NFC HSM technology Phishing

Ledger Security Breaches from 2017 to 2023: How to Protect Yourself from Hackers

2024 Articles Digital Security News Phishing

Google OAuth2 security flaw: How to Protect Yourself from Hackers

Articles Digital Security EviCore NFC HSM Technology EviPass NFC HSM technology NFC HSM technology

TETRA Security Vulnerabilities: How to Protect Critical Infrastructures

2023 Articles DataShielder Digital Security EviCore NFC HSM Technology EviCypher NFC HSM EviCypher Technology NFC HSM technology

FormBook Malware: How to Protect Your Gmail and Other Data

Articles Crypto Currency Digital Security EviSeed EviVault Technology News

Enhancing Crypto Wallet Security: How EviSeed and EviVault Could Have Prevented the $41M Crypto Heist

Articles Digital Security News

How to Recover and Protect Your SMS on Android

Articles Crypto Currency Digital Security News

Coinbase blockchain hack: How It Happened and How to Avoid It

Articles Compagny spying Digital Security Industrial spying Military spying Spying

Protect yourself from Pegasus spyware with EviCypher NFC HSM

Articles Digital Security EviCypher Technology

Protect US emails from Chinese hackers with EviCypher NFC HSM?

Articles Digital Security

What is Juice Jacking and How to Avoid It?

2023 Articles Cryptocurrency Digital Security NFC HSM technology Technologies

How BIP39 helps you create and restore your Bitcoin wallets

Articles Digital Security Phishing

Snake Malware: The Russian Spy Tool

Articles Cryptocurrency Digital Security Phishing

ViperSoftX How to avoid the malware that steals your passwords

Articles Digital Security Phishing

Kevin Mitnick’s Password Hacking with Hashtopolis

La cybersécurité souveraine ↑ Ce billet appartient à la rubrique Sécurité Digital. Prolongez votre lecture avec du contenu essentiel sur la défense via de modules de sécurité matériel fonctionnant sans contact : vous constaterez ici ainsi que dans les autres billets qui définissent ce concept, comment l’architecture globale DataShielder NFC HSM Defence permet de se protéger nativement contre les attaques silencieuses.

Origine du spyware ClayRat : une campagne à façade sociale, sans attribution formelle

Les premières analyses indiquent que ClayRat cible principalement des utilisateurs russophones, avec une diffusion initiale via Telegram, des sites de phishing et des APK hébergés hors Play Store. L’attribution reste ouverte : aucune preuve publique ne permet de relier ClayRat à un acteur étatique ou à une opération APT connue.

  • Infrastructure C2 : serveurs de commande et contrôle situés hors de l’Union européenne, souvent hébergés dans des juridictions à faible coopération judiciaire.
  • Capacité de reconfiguration : domaines dynamiques, DNS rotatifs, et hébergements volatils pour échapper aux listes de blocage.
  • Levier principal : exploitation de la confiance sociale entre pairs pour contourner les mécanismes de vigilance technique.
  • Absence de vecteur technique initial : ClayRat ne repose pas sur une vulnérabilité logicielle, mais sur une faille comportementale.

Cette façade sociale rend ClayRat particulièrement difficile à détecter en phase pré-infection. Il ne déclenche pas d’alerte système, ne requiert pas de privilèges root, et s’installe via des sessions utilisateur légitimes. C’est une attaque par mimétisme; où l’interface familière masque une logique d’espionnage.

Evolution rapide de ClayRat

⮞ Contexte actualisé

À la mi-octobre 2025, les dernières données confirment que le spyware Android ClayRat poursuit son expansion au-delà du public russophone initial. Les laboratoires de sécurité (Zimperium, CSO Online, CyberScoop) recensent plus de 600 échantillons APK uniques et plus de 50 variantes de distribution via Telegram et SMS.

Chronologie de l’évolution

  • T1 2025 : découverte initiale sur des groupes Telegram russophones, infection par confiance sociale.
  • T2 2025 : mutation de l’infrastructure C2 avec DNS dynamique et domaines éphémères (clayrat.top).
  • T3 2025 : propagation automatique — les appareils infectés envoient eux-mêmes des SMS malveillants.
  • T4 2025 : contournement des protections Android 13+ via de faux écrans de « mise à jour système ».

Capacités observées

  • Contrôle silencieux de la caméra et du micro même en mode veille.
  • Vol d’identifiants via les services d’accessibilité et l’autoremplissage.
  • Liste de commandes dynamique permettant le remplacement du payload.
  • Exfiltration de données en HTTP non chiffré vers les C2 distants.

Comparatif des menaces mobiles

Spyware Vecteur principal Caractéristique distinctive
Pegasus Exploits sans interaction (zero-click) Surveillance étatique visant journalistes et diplomates
Predator Vulnérabilités zero-day Espionnage gouvernemental par faille logicielle
FluBot Hameçonnage SMS Vol de données bancaires via fausses mises à jour
ClayRat Mimétisme social Espionnage comportemental sans exploit, basé sur la confiance
Rupture doctrinale : De Pegasus (espionnage par exploit) et Predator (intrusion par vulnérabilité) vers ClayRat (infiltration comportementale et sociale).
Cette transition illustre le passage stratégique de la faille technique à la faille humaine — la nouvelle frontière du cyberespionnage Android.

Impacts et risques émergents

  • Transformation des smartphones infectés en nœuds de diffusion par SMS automatique.
  • Propagation dans les environnements BYOD (usage professionnel).
  • Intérêt croissant sur les forums darknet pour des kits ClayRat « builder » dérivés.

Recommandations de durcissement

  • Désactiver globalement la permission Installer des applications inconnues.
  • Filtrer les liens SMS via des passerelles ou politiques EMM.
  • Bloquer les motifs DNS du type *.clayrat.top.
  • Privilégier une édition matérielle du message via DataShielder NFC HSM Defence pour supprimer toute exposition en clair.
Perspective stratégique (2026) — On anticipe une portabilité cross-platform vers Windows et iOS. Ce type de malware comportemental pousse la cybersécurité à passer d’une logique de détection post-incident à une logique de neutralisation pré-existante fondée sur le chiffrement matériel souverain.

Cartographie géographique & victimes cyber

Cartographie & Heatmap

La carte mondiale ci-dessous illustre la répartition géographique des campagnes du spyware ClayRat Android détectées entre fin 2024 et 2025. D’après la télémétrie de Zimperium et des indicateurs open source, l’épicentre se situe en Russie et dans les pays limitrophes, avec une propagation progressive vers l’Europe de l’Est, la Turquie et une exposition surveillée en Amérique du Nord et en Asie-Pacifique.

Carte mondiale illustrant la répartition géographique du spyware ClayRat Android, indiquant les zones d’infection confirmées et les régions sous surveillance.
Carte mondiale illustrant la répartition géographique du spyware ClayRat Android, indiquant les zones d’infection confirmées et les régions sous surveillance.

Cas de victimes vérifiées & Secteurs ciblés

À ce jour (octobre 2025), aucune victime publiquement confirmée — qu’il s’agisse d’un gouvernement, d’une ONG ou d’un média — n’a pu être reliée de manière forensique au spyware ClayRat Android. Cependant, les renseignements open source confirment une cible prioritaire : les utilisateurs russophones d’Android, via des canaux Telegram, des sites de phishing et des APK diffusés hors Play Store.

  • Broadcom recense le spyware ClayRat Android comme une menace active pour Android, sans citer de victimes précises.
  • Zimperium indique que les appareils infectés servent de relais de diffusion, propageant des variantes polymorphes.
  • En comparaison, Pegasus et Predator ont fait l’objet de cas avérés impliquant des journalistes, des ONG et des responsables publics — soulignant la nature plus furtive et comportementale de ClayRat.
Note de vigilance : En raison de la furtivité et du polymorphisme du spyware ClayRat Android, il est essentiel de suivre régulièrement les bulletins du CERT-FR, du CERT-EU, de la CISA et des agences nationales de cybersécurité pour toute mise à jour sur les campagnes et les victimes confirmées.

Impact du cyberespionnage mobile : de la vie privée à la souveraineté mobile

L’impact de ClayRat dépasse largement le vol de données personnelles. Il s’inscrit dans une logique de compromission silencieuse, où la frontière entre espionnage individuel et atteinte systémique devient floue. Voici les trois niveaux d’impact observés :

  • Atteinte à la vie privée : ClayRat intercepte les messages, images, journaux d’appels, et peut activer caméra et micro sans alerte. L’utilisateur ne perçoit aucune anomalie, tandis que ses échanges les plus intimes sont siphonnés en temps réel.
  • Propagation en milieu professionnel : En exploitant les contacts de confiance, ClayRat se diffuse dans les environnements d’entreprise sans déclencher de détection classique. Il contourne les solutions MDM et s’infiltre dans les chaînes de communication internes, compromettant la confidentialité des échanges stratégiques.
  • Risque systémique : En combinant espionnage, mimétisme applicatif et diffusion sociale, ClayRat provoque une perte de souveraineté des communications mobiles. Les infrastructures critiques, les chaînes de commandement et les environnements diplomatiques deviennent vulnérables à une surveillance invisible, non attribuée, et potentiellement persistante.

Ce triple impact — personnel, organisationnel et systémique — impose une rupture dans les doctrines de sécurité mobile. Il ne suffit plus de détecter l’intrusion : il faut supprimer les zones de clair-texte avant qu’elles ne deviennent exploitables.

Score de dangerosité typologique : ClayRat atteint 8.2 / 10

ClayRat n’exploite pas une faille zero-day au sens technique. Il ne contourne pas une vulnérabilité logicielle inconnue, mais détourne des mécanismes Android documentés, en s’appuyant sur la confiance sociale et l’interface utilisateur. À ce titre, il mérite une évaluation typologique de dangerosité, inspirée du modèle CVSS.

Critère Évaluation Justification
Vecteur d’attaque Réseau (via SMS/phishing) Propagation sans contact physique
Complexité de l’attaque Faible Installation via confiance sociale, pas de root requis
Privilèges requis Élevés (accordés par l’utilisateur) Usurpation du rôle SMS et accès aux contacts
Impact sur la confidentialité Critique Vol de messages, images, appels, caméra
Impact sur l’intégrité Modéré Envoi de SMS malveillants à l’insu de l’utilisateur
Impact sur la disponibilité Faible Espionnage passif, pas de blocage système

Score typologique estimé : 8.2 / 10Menace critique par mimétisme comportemental

Rupture doctrinale : pourquoi les solutions classiques de sécurité mobile échouent face à ClayRat

Avec un score de dangerosité typologique de 8.2/10, ClayRat impose une remise en question profonde des approches de sécurité mobile. Les solutions classiques — antivirus, sandbox, MDM, chiffrement logiciel — échouent non pas par obsolescence technique, mais parce qu’elles interviennent après l’exposition du message en clair. Il est temps de changer de paradigme.

Face à ClayRat, les solutions de sécurité traditionnelles — antivirus, sandbox, MDM, chiffrement logiciel — montrent leurs limites. Elles interviennent après l’exposition, ou protègent un contenu déjà lisible par le système. Or, ClayRat ne cherche pas à casser le chiffrement : il intercepte le message avant qu’il ne soit protégé.

  • Antivirus : inefficaces contre les APK déguisés et les installations par session utilisateur.
  • Sandbox : contournées par l’activation différée et le mimétisme applicatif.
  • MDM/EMM : incapables de détecter une application qui se comporte comme une messagerie légitime.
  • Chiffrement logiciel : exposé à la mémoire vive, lisible par le système avant chiffrement.

Le resultat est sans appel : tant que le système d’exploitation détient le message en clair, il peut être compromis. Il ne suffit plus de protéger le contenu — il faut supprimer son existence lisible dans l’environnement Android.

Permissions abusives : ClayRat et les vecteurs d’accès système

ClayRat ne repose pas sur une faille technique, mais sur une exploitation stratégique des permissions Android. Lors de l’installation, il demande un ensemble de droits étendus, souvent acceptés sans vigilance par l’utilisateur, car l’application se présente comme un service de messagerie légitime.

  • Lecture des SMS : pour intercepter les messages entrants, y compris les OTP bancaires ou d’authentification.
  • Accès aux contacts : pour identifier les cibles de propagation sociale.
  • Gestion des appels : pour intercepter ou initier des appels sans interaction utilisateur.
  • Accès à la caméra et au micro : pour capturer des données visuelles et sonores à l’insu de l’utilisateur.

Ces permissions, bien que légitimes dans le cadre d’une messagerie, deviennent des vecteurs d’espionnage lorsqu’elles sont accordées à une application déguisée. Elles soulignent la nécessité d’une interface souveraine indépendante du système, où le message ne transite jamais en clair.

Exfiltration réseau du spyware ClayRat : flux non chiffrés vers le C2

Une fois les données collectées, ClayRat les exfiltre vers ses serveurs de commande et contrôle (C2), identifiés notamment sous le domaine clayrat.top. L’analyse réseau révèle une communication en clair via HTTP, facilitant l’analyse mais aussi la compromission.

  • Protocole : HTTP non sécurisé (pas de TLS)
  • Méthode : requêtes POST contenant des payloads JSON avec les données volées
  • Contenu : messages, contacts, journaux d’appels, métadonnées système

Cette exfiltration non chiffrée confirme que ClayRat n’intègre pas de chiffrement de bout en bout — il compte sur l’accès au message en clair. Une architecture où le message est déjà chiffré matériellement rend cette exfiltration inutile : le spyware ne peut transmettre que du bruit cryptographique.

Indicateurs de compromission (IoC) techniques pour ClayRat : CERT et SOC

Pour les équipes de réponse à incident (CERT, SOC), voici les principaux IoC publics liés à ClayRat, issus de la veille ThreatFox et Zimperium :

Type Valeur Source
Domaine C2 clayrat.top ThreatFox
IP associée 185.225.73.244 abuse.ch
Hash APK f3a1e2c9d8b6e1f3... (extrait) Zimperium

Ces indicateurs doivent être intégrés dans les systèmes de détection réseau (IDS/IPS) et les outils de threat hunting. Pour des raisons de sécurité opérationnelle, la liste complète est réservée aux entités habilitées.

Pour une analyse complète des tactiques de ClayRat, voir le rapport de Zimperium.

Comparatif : ClayRat face aux autres spywares Android (FluBot, SpyNote)

Critère ClayRat FluBot SpyNote
Diffusion SMS + confiance sociale SMS massif APK sur forums
Ciblage Russophone Europe Global
C2 clayrat.top (non chiffré) rotatif (DNS) IP fixes
Particularité Usurpation rôle SMS Overlay bancaire Contrôle caméra/micro

Recommandations opérationnelles CERT/SOC face au spyware ClayRat Android

  • Bloquer les domaines et IP liés à clayrat.top dans les pare-feux et proxys d’entreprise. Surveiller les journaux de connexions sortantes pour détecter toute tentative résiduelle.
  • Interdire l’installation d’APK hors Play Store (sideload) via les politiques MDM/EMM. Restreindre les applications aux sources vérifiées et tracer les exceptions justifiées.
  • Surveiller les flux HTTP non chiffrés sortants vers des domaines inconnus. Une connexion persistante en clair doit être considérée comme un indicateur de compromission.
  • Renforcer la sensibilisation des utilisateurs à la reconnaissance des faux messages WhatsApp, TikTok ou Google Photos. Encourager la vérification des sources et le signalement immédiat des liens suspects.
  • Déployer une messagerie souveraine chiffrée matériellement — et utiliser un outil de surchiffrement tel que DataShielder NFC HSM Lite / Master / Auth / m.Auth / Defence — afin d’éliminer toute présence de message en clair dans Android, même avant l’envoi.
  • Auditer régulièrement les permissions SMS par défaut et identifier les usurpations silencieuses du rôle de gestionnaire de messagerie. Révoquer toute application non autorisée.
  • Maintenir une veille active des indicateurs de compromission (IoC) en s’appuyant sur les bases ThreatFox et abuse.ch, ainsi que les bulletins de Zimperium.

Ces mesures immédiates permettent de réduire l’exposition organisationnelle à ClayRat.
Elles s’inscrivent dans une doctrine de résilience structurelle où le message n’est plus un actif à protéger, mais une donnée inexistante en clair.
C’est cette rupture — l’édition matérielle de messages chiffrés indépendante du système d’exploitation — que concrétise DataShielder NFC HSM Defence.

Note doctrinale :

Dans la logique souveraine de Freemindtronic, la sécurité ne repose plus que sur la détection d’une menace, mais sur la suppression de toute surface exploitable.
L’approche DataShielder NFC HSM ne cherche pas à protéger un message après son exposition — elle en empêche l’existence même en clair.
C’est cette neutralisation du concept de vulnérabilité qui fonde la souveraineté numérique embarquée.

Explorons maintenant en profondeur la rupture doctrinale souveraine incarnée par DataShielder NFC HSM Defence.
Cette solution ne protège pas un message exposé, elle en abolit la forme lisible avant même son transfert dans Android. Grâce à une interface cryptographique indépendante du système, chaque mot, chaque octet et chaque contact sont chiffrés matériellement dès leur création, rendant tout spyware structurellement aveugle.

Nous verrons comment DataShielder combine les briques technologiques EviCore, EviPass, EviOTP et EviCall NFC HSM pour établir un écosystème de communication souverain, où la confidentialité n’est plus un choix, mais une propriété native du message.

Défense souveraine avec DataShielder NFC HSM Defence : la fin du clair-texte Android

C’est cette rupture doctrinale qui ouvre la voie à une nouvelle génération de défense : l’édition matérielle de messages chiffrés, indépendante du système d’exploitation. C’est précisément ce que réalise DataShielder NFC HSM Defence.

Cloisonnement souverain avec EviPass NFC HSM : sécurité sans contact

Contrairement aux applications classiques qui dépendent du sandbox Android, DataShielder embarque une technologie souveraine issue de EviCore NFC HSM, déclinée ici sous la forme EviPass NFC HSM. Ce cloisonnement matériel et logiciel permet d’exécuter les opérations cryptographiques dans un environnement isolé, indépendant du système d’exploitation.

  • Sandbox URL dédiée : chaque instance dispose d’un espace d’exécution cloisonné, inaccessible aux autres processus Android.
  • EviPass NFC HSM : gestionnaire décentralisé de secrets, sans cloud ni stockage local, piloté depuis l’application propriétaire.
  • Version Defence : intègre EviOTP NFC HSM, générateur matériel d’OTP souverain, compatible TOTP/HOTP, totalement hors ligne.

Ce cloisonnement natif garantit que ni Android, ni un spyware comme ClayRat ne peuvent accéder aux identifiants, aux messages ou aux OTP générés. Il s’agit d’une sandbox souveraine embarquée, conçue pour fonctionner même dans un environnement compromis.

Note typologique : Le terme « sandbox » désigne ici un cloisonnement matériel et logiciel embarqué, distinct des sandbox logicielles Android. EviPass NFC HSM crée un environnement d’exécution isolé, où les identifiants et OTP ne transitent jamais dans le système d’exploitation, mais uniquement depuis l’application propriétaire, directement depuis le NFC HSM.

Architecture hybride DataShielder : l’avantage EviCore NFC HSM

DataShielder repose sur une architecture hybride brevetée issue de EviCore NFC HSM, combinant :

  • Un NFC HSM ultra-passif blindé, contenant les clés segmentées et le système de contrôle d’accès matériel.
  • Une intelligence logicielle agile, responsable de l’interface, de l’orchestration cryptographique et des mises à jour dynamiques.

Cette combinaison permet une édition matérielle souveraine du message, tout en conservant la souplesse d’adaptation logicielle. Le HSM ne contient aucune logique exécutable — il agit comme un coffre-fort cryptographique, tandis que le logiciel pilote les opérations sans jamais exposer le contenu en clair et sans stocker les secrets, uniquement présents chiffrés dans la mémoire EPROM du NFC HSM.

Interface souveraine de messagerie chiffrée

Dans DataShielder NFC HSM Defence, la rédaction d’un message s’effectue dans une interface cryptographique propriétaire indépendante d’Android. Le texte en clair n’existe que dans la mémoire volatile interne à cette interface. Dès que l’utilisateur valide, le message est immédiatement chiffré depuis le NFC HSM, seul à disposer des clés, puis injecté chiffré dans la messagerie choisie (SMS, MMS, RCS ou app tierce). Le texte en clair est effacé et ne transite jamais dans Android.

Approche Exposition du message Résilience face à ClayRat
Chiffrement logiciel Message en clair dans Android avant chiffrement Vulnérable
Édition hybride souveraine (DataShielder NFC HSM) Message jamais lisible par Android Résilient

⮞ Mécanisme cryptographique

  • Chiffrement AES-256 dans le HSM NFC, sans signature nécessaire.
  • Message clair inexistant dans Android, seulement en RAM sécurisée le temps de la frappe.
  • Injection universelle : toutes les messageries reçoivent un contenu déjà chiffré.
  • Auto-purge : destruction immédiate du message clair après chiffrement.
  • Compatibilité multi-messagerie : SMS, MMS, RCS, Signal, Telegram, WhatsApp, etc..

Les algorithmes utilisés sont conformes aux standards internationaux : AES-256 (FIPS 197) et OpenPGP RFC 9580.

Note de doctrine souveraine :
Contrairement aux architectures nécessitant une signature logicielle, DataShielder repose sur un chiffrement et déchiffrement exclusifs entre HSM NFC. Toute tentative de modification rend le message indéchiffrable par conception. Le HSM agit comme un éditeur matériel de messages chiffrés, rendant tout spyware aveugle par nature.

Technologies embarquées — EviCore et ses dérivés

  • EviCore NFC HSM : fondation technologique embarquée dans tous les modules souverains
  • EviPass NFC HSM : gestionnaire décentralisé de mots de passe et secrets
  • EviOTP NFC HSM : générateur matériel d’OTP souverain, hors ligne
  • EviCypher NFC HSM : module dédié au chiffrement depuis un NFC HSM des messages, fichiers, emails
  • EviCall NFC HSM : gestionnaire souverain de contacts et apple téléphoniques depuis une NFC HSM, exclusif à DataShielder Defence

Ce que notre billet ne traite pas (volontairement)

Ce billet se concentre sur les contre-mesures souveraines embarquées face à ClayRat. Certains aspects techniques ou opérationnels sont volontairement exclus pour préserver la lisibilité, la sécurité et la pertinence contextuelle :

  • Indicateurs de compromission complets (IoC) — disponibles via Zimperium et ThreatFox, réservés aux CERT et SOC pour éviter toute diffusion non maîtrisée.
  • Techniques forensiques sur appareils compromis — à traiter dans un cadre dédié, avec outils spécialisés et procédures validées.
  • Adaptations iOS — ClayRat cible exclusivement Android à ce jour, mais une veille croisée reste recommandée pour anticiper toute mutation.
  • Comparatifs antivirus/MDM classiques — non pertinents ici, car dépassés par la logique d’édition matérielle souveraine.
  • Analyse comportementale des campagnes SMS — abordée dans un billet complémentaire dédié à la tactique de diffusion.

Ces exclusions sont stratégiques : elles permettent de concentrer l’analyse sur la rupture doctrinale et les solutions embarquées, sans diluer le message ni exposer des données sensibles.

Strategic Outlook : vers une souveraineté numérique embarquée et la fin définitive du clair-texte

En substance, ClayRat marque la fin d’une ère pour la sécurité mobile : la protection ne se limite plus à surveiller les intrusions, mais bien à éliminer les zones de clair-texte. De ce fait, l’exposition temporaire du message devient une faille en soi — même sans vulnérabilité logicielle connue.

C’est pourquoi DataShielder NFC HSM Defence incarne cette rupture doctrinale : une architecture matérielle où la confidentialité précède le transport, et où le chiffrement souverain n’est plus une opération logicielle, mais s’impose comme une édition matérielle souveraine.

Par conséquent, le système d’exploitation n’a plus rien à protéger — puisqu’il ne détient plus rien de lisible. Le message, l’identifiant, l’OTP, le contact : en effet, tout est généré, utilisé et purgé dans un environnement cloisonné, totalement hors du champ d’action des spywares Android.

Au final, cette approche inaugure une nouvelle génération de cybersécurité embarquée, où la souveraineté ne dépend plus d’un cloud, d’un OS ou d’un fournisseur tiers, mais bien d’un cycle de vie cryptographique maîtrisé — depuis la frappe jusqu’à l’injection.

Ainsi, elle ouvre la voie à des usages critiques et sensibles : défense, diplomatie, infrastructures, journalistes sous surveillance, et toute entité pour qui l’absence de lisibilité du message est la seule garantie de sécurité numérique.

Sources techniques et officielles

Glossaire typologique : termes clés de la cybersécurité, chiffrement matériel et souveraineté numérique

  • APK : Android Package — il s’agit du fichier d’installation standard d’une application Android. Par conséquent, le téléchargement d’un APK non officiel est l’une des principales failles d’entrée exploitées par le spyware ClayRat.
  • APT : Advanced Persistent Threat — En effet, une menace persistante avancée désigne un acteur souvent étatique ou très organisé, capables de mener des campagnes d’espionnage sophistiquées. C’est le niveau de menace potentiel derrière la conception de ClayRat.
  • C2 : Command & Control — Autrement dit, c’est le serveur distant essentiel qu’un malware mobile utilise pour recevoir des ordres ou, ce qui est crucial, exfiltrer les données piratées.
  • CVSS : Common Vulnerability Scoring System — Ainsi, c’est un système standardisé international d’évaluation de la gravité des vulnérabilités de sécurité, permettant de classer les risques de manière objective.
  • DNS : Domain Name System — De fait, ce système traduit les noms de domaines (comme l’adresse du C2 de ClayRat, `clayrat.top`) en adresses IP. Les DNS rotatifs sont une technique d’évasion très utilisée par les attaquants.
  • EMM / MDM : Enterprise Mobility Management / Mobile Device Management. Bien que ces solutions logicielles visent à gérer et sécuriser les appareils mobiles en entreprise, elles sont fréquemment contournées par les attaques comportementales comme ClayRat.
  • HSM : Hardware Security Module — Fondamentalement, c’est un composant matériel dédié au chiffrement, au stockage et à la gestion sécurisée des clés cryptographiques. Sa sécurité intrinsèque est supérieure aux solutions logicielles.
  • IoC : Indicateurs d’Compromission — Par exemple, ce sont des données techniques (adresses IP, hachages de fichiers d’un APK, noms de domaines) utilisées par les SOC et CERT pour détecter une activité malveillante sur un réseau, notamment les connexions au C2 de ClayRat.
  • MMS : Multimedia Messaging Service — Il s’agit du service de messagerie permettant l’envoi de contenus multimédias (images, vidéos, sons). Aujourd’hui, il est partiellement remplacé par le RCS.
  • NFC HSM : HSM Hybride (Matériel/Logiciel) — En conclusion, ce système de sécurité souverain est au cœur de DataShielder. Un Composant Matériel de Sécurité (HSM) est piloté par l’application Android *Freemindtronic* (DataShielder) et fonctionne sans contact via la technologie NFC. Par conséquent, ce concept garantit une isolation complète et un chiffrement matériel totalement indépendant par rapport à l’OS Android.
  • OTP : One-Time Password — Très souvent utilisé pour l’authentification à deux facteurs, le mot de passe à usage unique est une cible privilégiée de ClayRat, puisqu’il intercepte les SMS entrants.
  • RAM : Random Access Memory — Généralement, cette mémoire vive du téléphone est l’endroit où un spyware peut lire le texte en clair du message avant qu’il ne soit chiffré par un logiciel classique. C’est le risque que DataShielder élimine.
  • RCS : Rich Communication Services — De plus, ce protocole est le successeur moderne du SMS/MMS, offrant des fonctionnalités enrichies. Il est également concerné par la compromission des données non chiffrées.
  • Sandbox : Initialement, une Sandbox est un environnement d’exécution isolé. Dans le contexte Android, c’est l’isolation logicielle des applications. Néanmoins, dans le contexte DataShielder, il s’agit d’un cloisonnement matériel souverain indépendant d’Android, beaucoup plus résilient.
  • Sideload : Typiquement, il s’agit de l’Installation d’une application en dehors du Play Store officiel (via un fichier APK). C’est d’ailleurs la méthode de diffusion principale du spyware ClayRat.
  • SMS : Short Message Service — Historiquement, ce service de messages texte est l’un des premiers moyens d’interception et de phishing utilisé par les malwares mobiles comme ClayRat.
  • TOTP/HOTP : Time-based / HMAC-based One-Time Password — Finalement, ce sont les standards pour la génération d’OTP, basés soit sur le temps, soit sur un algorithme cryptographique. Leur génération matérielle par DataShielder assure une sécurité maximale.


5Ghoul: 5G NR Attacks on Mobile Devices

5Ghoul: 5G NR Attacks on Mobile Devices
5Ghoul Attacks on Mobile Devices written by Jacques Gascuel, inventor of sensitive data safety and security systems, for Freemindtronic. This article may be updated on this subject.

5Ghoul: A Threat to 5G Security

5G has benefits, but also risks. 5Ghoul is a set of 5G NR flaws that affect Qualcomm and MediaTek modems, used by most 5G devices. 5Ghoul can disrupt or make unusable smartphones, routers and modems 5G. In this article, we will see what 5Ghoul is, how it compares to other 5G attacks, and how to protect yourself with contactless encryption, which uses NFC.

2023 Articles Cardokey Eco-friendly EviSwap NFC NDEF Technology GreenTech

NFC Business Cards with Cardokey free for life: How to Connect without Revealing

2023 Articles Cyberculture EviCore HSM OpenPGP Technology EviCore NFC HSM Browser Extension EviCore NFC HSM Technology Legal information Licences Freemindtronic

Unitary patent system: why some EU countries are not on board

Andorran law

Llei 26/2014 del 30 d’octubre de patents

Articles Crypto Currency Cryptocurrency Digital Security EviPass Technology NFC HSM technology Phishing

Ledger Security Breaches from 2017 to 2023: How to Protect Yourself from Hackers

5Ghoul: How Contactless Encryption Can Secure Your 5G Communications from Modem Attacks

5Ghoul is a set of 5G NR vulnerabilities that affect Qualcomm and MediaTek modems. These flaws allow to launch denial-of-service attacks or degrade the quality of the 5G network.

What is 5Ghoul?

5Ghoul is a set of 14 5G NR (New Radio) vulnerabilities, the protocol that governs the communication between 5G devices and base stations (gNB). Among these vulnerabilities, 10 are public and 4 are still confidential. They were discovered by researchers from the Singapore University of Technology and DesignSingapore University of Technology and Design.

The 5Ghoul vulnerabilities exploit implementation errors in Qualcomm and MediaTek modems, which do not comply with the specifications of the 5G NR protocol. They allow an attacker to create a fake base station, which pretends to be a legitimate one, and send malicious messages to 5G devices that connect to it. These messages can cause errors, crashes or infinite loops in the modems, resulting in denial-of-service attacks or degradations of the quality of the 5G network.

Which devices are affected by 5Ghoul?

The researchers tested the 5Ghoul vulnerabilities on 714 models of 5G smartphones from 24 different brands, including Lenovo, Google, TCL, Microsoft, etc. They also tested routers and modems 5G from various manufacturers. They found that the 5Ghoul vulnerabilities affect all 5G devices equipped with Qualcomm and MediaTek modems, which account for more than 90% of the market.

What are the impacts of 5Ghoul?

The impacts of 5Ghoul depend on the vulnerability exploited and the type of device targeted. The researchers classified the 5Ghoul vulnerabilities into three categories, according to their severity:

Level 1 vulnerabilities

Level 1 vulnerabilities are the most severe. They allow to render 5G devices completely unusable, by locking them in a state where they can neither connect nor disconnect from the 5G network. These vulnerabilities require a manual reboot of the devices to be resolved. Among the level 1 vulnerabilities, there is for example the CVE-2023-33043, which causes a crash of the Qualcomm X55/X60 modem by sending an invalid MAC/RLC message.

Level 2 vulnerabilities

Level 2 vulnerabilities are less critical, but still harmful. They allow to degrade the quality of the 5G network, by reducing the throughput, latency or stability of the connection. These vulnerabilities can be resolved by reconnecting to the 5G network. Among the level 2 vulnerabilities, there is for example the CVE-2023-33044, which causes packet loss on the MediaTek T750 modem by sending an invalid RRC message.

Level 3 vulnerabilities

Level 3 vulnerabilities are the least dangerous. They allow to disrupt the normal functioning of 5G devices, by displaying error messages, modifying settings or triggering alerts. These vulnerabilities have no impact on the quality of the 5G network. Among the level 3 vulnerabilities, there is for example the CVE-2023-33045, which causes an error message on the Qualcomm X55/X60 modem by sending an invalid RRC message.

How to protect yourself from 5Ghoul?

The researchers informed the manufacturers of Qualcomm and MediaTek modems of the 5Ghoul vulnerabilities, as well as the 5G network operators and the 5G device manufacturers. They also published a demonstration kit of the 5Ghoul vulnerabilities on GitHub, to raise awareness among the public and the scientific community of the risks of 5G NR.

To protect yourself from 5Ghoul, 5G device users must update their modems with the latest security patches, as soon as they are available. They must also avoid connecting to unreliable or unknown 5G networks, which could be fake base stations. In case of doubt, they can disable 5G and use 4G or Wi-Fi.

How 5Ghoul compares to other 5G attacks?

5Ghoul is not the first security flaw that affects 5G. Other 5G attacks have been discovered in the past, exploiting weaknesses in the protocol or in the equipment. Here are some examples of 5G attacks and their differences with 5Ghoul:

ReVoLTE

ReVoLTE is an attack that allows to listen to voice calls 4G and 5G by exploiting a vulnerability in the encryption of data. This vulnerability is due to the fact that some base stations reuse the same encryption key for multiple communication sessions, which allows an attacker to decrypt the content of the calls by capturing the radio signals.

It is different from 5Ghoul because it does not target the 5G modem, but the encryption of data. ReVoLTE also requires that the attacker be close to the victim and have specialized equipment to intercept the radio signals. ReVoLTE does not cause denial of service or degradation of the network, but it compromises the confidentiality of communications.

ToRPEDO

ToRPEDO is an attack that allows to locate, track or harass mobile phone users 4G and 5G by exploiting a vulnerability in the paging protocol. This protocol is used to notify mobile devices of incoming calls or messages. By sending repeated messages to a phone number, an attacker can trigger paging messages on the network, and thus determine the position or identity of the target device.

It is different from 5Ghoul because it does not target the 5G modem, but the paging protocol. ToRPEDO also requires that the attacker knows the phone number of the victim and has access to the mobile network. ToRPEDO does not cause denial of service or degradation of the network, but it compromises the privacy of users.

IMP4GT

IMP4GT is an attack that allows to degrade the quality of the 5G network by exploiting a vulnerability in the security protocol. This protocol is used to authenticate and encrypt the communications between 5G devices and base stations. By modifying the messages exchanged between the two parties, an attacker can mislead the network and the device on the level of security required, and thus reduce the throughput or latency of the connection.

It is different from 5Ghoul because it does not target the 5G modem, but the security protocol. IMP4GT also requires that the attacker be close to the base station and have equipment capable of modifying the messages. IMP4GT does not cause denial of service or crash of the modem, but it degrades the quality of the network.

SS7

SS7 is a set of signaling protocols used by mobile operators to establish and manage calls and messages between different networks. SS7 has existed since the 1970s and has not evolved much since, making it vulnerable to hacking attacks. By exploiting the flaws of SS7, an attacker can intercept SMS and voice calls, locate and track users, bypass two-factor authentication, or subscribe subscribers to paid services without their consent.

It is different from 5Ghoul because it does not target the 5G modem, but the signaling protocol. SS7 affects all types of mobile networks, including 5G, because it still uses SS7 for some functions, such as mobility management or compatibility with 2G and 3G networks. SS7 requires that the attacker has access to the signaling network, which is not easy to obtain, but not impossible. SS7 does not cause denial of service or crash of the modem, but it compromises the confidentiality and integrity of communications.

How and why to encrypt SMS, MMS and RCS without contact?

Contactless encryption is a method of protecting mobile communications that uses NFC (Near Field Communication) technology to establish a secure connection between two devices. NFC is a wireless communication protocol that allows to exchange data by bringing two compatible devices within a few centimeters of each other.

Contactless encryption relies on the use of an external device called NFC HSM (Hardware Security Module), which is a hardware security module that stores and manages encryption keys. The NFC HSM comes in the form of a card, a keychain or a bracelet, that the user must bring close to his phone to activate the encryption. The NFC HSM communicates with the phone via NFC and transmits the encryption key needed to secure the messages.

The technologies EviCore NFC HSM and EviCypher NFC HSM are examples of contactless encryption solutions developed by the Andorran company Freemindtronic. EviCore NFC HSM is a hardware security module that allows to encrypt SMS, MMS and RCS (Rich Communication Services) end-to-end, meaning that only the recipients can read the messages. EviCypher NFC HSM is a hardware security module that allows to encrypt multimedia files (photos, videos, audio, etc.) and share them via SMS, MMS or RCS.

Contactless encryption has several advantages over conventional encryption of mobile communications:

It offers a higher level of security, because the encryption key is not stored on the phone, but on the NFC HSM, which is more difficult to hack or steal.

It is compatible with all types of mobile networks, including 5G, because it does not depend on the communication protocol used, but on NFC.

It is easy to use, because it is enough to bring the NFC HSM close to the phone to activate the encryption, without having to install a specific application or create an account.

It is transparent, because it does not change the appearance or functioning of the messages, which remain accessible from the native application of the phone.

Statistics on 5Ghoul

How widespread are 5Ghouls? What are the trends and impacts of these flaws? Some statistics on 5Ghoul, based on sources and data that are a priori reliable.

5Ghoul: a threat to 5G devices

5Ghoul is a set of 5G NR vulnerabilities that affect Qualcomm and MediaTek modems, which are used by most 5G devices on the market. According to the researchers who discovered 5Ghoul, these vulnerabilities can cause denial-of-service attacks or network degradations.

  • How many 5G devices are affected by 5Ghoul? According to a report by Counterpoint Research, Qualcomm and MediaTek accounted for 79% of the global smartphone chipset market in Q3 2020. Qualcomm had a 39% share, while MediaTek had a 40% share. Assuming that all Qualcomm and MediaTek chipsets are vulnerable to 5Ghoul, this means that nearly 8 out of 10 smartphones are potentially at risk.
  • How many 5G NR vulnerabilities are known? According to the CVE (Common Vulnerabilities and Exposures) database. There are 16 CVE entries related to 5G NR as of April 2021. Four of them are ZeroDay vulnerabilities that have not been publicly disclosed nor fixed by the manufacturers. These vulnerabilities are classified as level 1 or 2, meaning that they can cause denial-of-service attacks or network degradations.
  • How many 5G attacks have been reported? According to the SANS Internet Storm Center, there have been no reports of 5Ghoul attacks in the wild as of April 2021. However, this does not mean that 5Ghoul is not exploited by malicious actors. The researchers who discovered 5Ghoul have developed a proof-of-concept tool called 5Ghoul-Scanner, which can detect and exploit 5Ghoul vulnerabilities. They have also released a video demonstration of 5Ghoul attacks.

Conclusion

5Ghoul is a security flaw that affects 5G modems from Qualcomm and MediaTek, which are used by most 5G devices on the market. 5Ghoul allows an attacker to disrupt the functioning of smartphones, routers and modems 5G, or even make them unusable. 5Ghoul stands out from other 5G attacks known, such as ReVoLTE, ToRPEDO, IMP4GT or SS7, by the fact that it targets the 5G modem, that it does not require secret information or specialized equipment, and that it causes denial-of-service attacks or degradations of the network. To protect yourself from 5Ghoul, 5G device users must update their modems with the latest security patches, and avoid connecting to unreliable or unknown 5G networks.