Surxrat est un cheval de Troie Android vendu sur abonnement. Ce dernier télécharge un modèle d'IA de plus de 23 Go depuis Hugging Face à l'insu de sa victime. Les chercheurs de Cyble l'ont passé au crible et découvert qu'il combine des dispositifs de surveillance ciblée et d'extorsion avec des fonctions IA encore inconnues.
Surxrat est distribué via un canal Telegram ouvert fin 2024 par un acteur malveillant d'origine indonésienne. Ce qui le distingue, c'est son modèle commercial calqué sur un service en ligne - et un rapport pour le moins inattendu avec les modèles d'IA open source.
Offre partenaire
Protection avancée des e-mails, des calendriers, des mots de passe, du réseau… de votre entreprise grâce à la suite d'applications professionnelles sécurisées.
Offre partenaire
Un marché bien rôdé sur Telegram
Surxrat V5 propose deux formules à paiement unique. Le "Reseller Plan" à 200 000 (en monnaie locale) permet de générer jusqu'à 3 builds du malware par jour. Le "Partner Plan" à 500 000 monte à 10 builds quotidiens et autorise la création d'un réseau de revendeurs, une façon pour l'opérateur de déléguer la diffusion tout en gardant la main sur l'infrastructure. En janvier 2026, le canal recensait 1 318 comptes actifs et les analystes de Cyble ont identifié plus de 180 variantes distinctes.
Sur le plan de la collecte de données, Surxrat est particulièrement exhaustif. Il intercepte les SMS, les journaux d'appels, la liste de contacts, l'historique de navigation, les notifications, le contenu du presse-papiers et les données du compte Gmail. Il remonte aussi la localisation GPS, les informations sur les antennes cellulaires à proximité et l'historique des réseaux Wi-Fi. Ces données permettent aux attaquants de récupérer des codes à usage unique, pour, par exemple, valider des connexions ou des paiements. Ils peuvent également dresser un profil complet de la victime avant de lancer des opérations de fraude secondaires.
Le contrôle à distance va bien au-delà du simple espionnage. L'attaquant peut déclencher des appels, forcer l'ouverture d'un site web, diffuser de l'audio, modifier le fond d'écran via une URL distante ou encore afficher du texte en superposition sur l'écran (une technique utilisée pour tromper l'utilisateur sur ce qu'il voit réellement). Il peut aussi manipuler la latence réseau, activer la lampe de poche, faire vibrer l'appareil et, en cas de besoin, effacer l'intégralité du stockage. L'appareil compromis devient concrètement un outil piloté à distance, dont la victime a perdu le contrôle sans nécessairement s'en rendre compte.
Une fois installé, le malware réclame des permissions courantes - contacts, SMS, stockage, localisation - puis guide l'utilisateur pour activer les services d'accessibilité Android. Cette fonctionnalité, conçue à l'origine pour les personnes en situation de handicap, donne à l'attaquant un contrôle total sans aucune action supplémentaire de la victime. Les données collectées transitent vers une base Firebase Realtime, un service cloud de Google servant ici de centre de commande discret. L'analyse du code révèle que la connexion utilise une référence interne labellisée "arsinkRAT", un cheval de Troie Android dont SurxRat est probablement issu, selon Cyble. Le cabinet Zimperium avait signalé une recrudescence d'arsinkRAT le mois dernier. Surxrat intègre également un verrou d'écran façon ransomware : l'attaquant bloque l'appareil à distance, personnalise le message affiché et fixe un code PIN de déverrouillage.
23 Go de données téléchargées, mais pourquoi ?
Les versions récentes ajoutent un comportement rare et toujours inexpliqué : lorsque les jeux Free Fire MAX x JUJUTSU KAISEN ou Free Fire x JUJUTSU KAISEN sont actifs sur l'appareil, Surxrat déclenche le téléchargement d'un module LLM depuis Hugging Face. Ce modèle de langage, normalement utilisé pour alimenter les IA génératives, dépasse les 23 Go. Alors évidemment, cela ne passe pas inaperçu sur un smartphone.
Cyble formule trois hypothèses. Ce module pourrait servir à dégrader volontairement les performances réseau pendant une session de jeu, afin de mettre en place des services de triche payants. Il pourrait aussi saturer la connexion pour masquer l'activité malveillante en arrière-plan, et donc laisser penser à l'utilisateur que son smartphone n'est peut-être finalement pas si performant. La troisième piste viserait des fonctionnalités d'IA avancées pour des interactions automatisées ou du "social engineering" ciblé. Mais selon les chercheurs, de telles mesures seraient encore au stade expérimental. Notons au passage que la liste des applications ciblées peut être modifiée à distance depuis le serveur de l'opérateur, ce qui rend ce comportement complètement configurable.
