NoVoice : un rootkit caché dans le Play Store infecte 2,3 millions d’appareils — votre vieux téléphone est‑il déjà compromis ?
NoVoice : un rootkit Android diffusé via des applis du Play Store cible les vieux téléphones
Les chercheurs en sécurité viennent de mettre au jour une campagne particulièrement sophistiquée visant des appareils Android anciens et non patchés. Baptisé NoVoice, ce rootkit est capable d’obtenir un accès root complet sur le terminal, de persister après redémarrage et même après un reset d’usine, et il était discrètement distribué dans plus de 50 applications publiées sur le Play Store. Au total, ces applis auraient été téléchargées environ 2,3 millions de fois avant leur suppression par Google.
Technique d’infection : steganographie, SDK compromis et chaîne d’exploits
La méthode utilisée par les auteurs montre un niveau d’organisation élevé. Les applis malveillantes ne demandent pas de permissions manifestement suspectes et fournissent les fonctions annoncées, ce qui facilite la diffusion via les circuits officiels. Le composant malveillant était intégré dans des classes du SDK Facebook contenu dans ces applis. À l’exécution, un fichier chiffré enc.apk, dissimulé dans une image PNG par stéganographie, est chargé en mémoire puis déchiffré en h.apk.
Le code déchiffré installe ensuite une bibliothèque embarquant deux fichiers JAR :
Parmi ces composants figurent 22 exploits ciblant des vulnérabilités d’Android corrigées entre 2016 et 2021. Ce faisceau d’exploits permet d’obtenir l’élévation de privilèges sur des terminaux qui n’ont pas reçu les correctifs de sécurité jusqu’au niveau 2021‑05‑01.
Impact : accès root, persistance et attaques ciblées sur WhatsApp
Une fois la faille exploitée, le rootkit NoVoice remplace une bibliothèque système, intercepte les appels système et redirige l’exécution vers le code malveillant injecté. Cette technique permet aux attaquants de neutraliser des protections, d’injecter du code dans des processus légitimes et d’étendre leur contrôle sur l’appareil. NoVoice est persistant : il survit aux redémarrages et résiste à un “factory reset”. Le seul remède fiable identifié est la réinstallation complète du firmware (flashage), ce qui n’est pas accessible à la plupart des utilisateurs.
Parmi les objectifs évoqués, WhatsApp est particulièrement visé : en volant des identifiants ou en clonant des sessions, les attaquants peuvent usurper des comptes, intercepter des conversations ou propager des campagnes de fraude via des contacts de la victime.
Qui est touché ? appareils anciens et patchs manquants
Les vulnérabilités exploitées ont été corrigées par Google entre 2016 et 2021. Par conséquent, sont à risque principalement les terminaux n’ayant pas reçu le patch de sécurité du 1er mai 2021. Il s’agit souvent de modèles plus anciens, d’appareils vendus par des constructeurs peu loquaces sur le support logiciel, ou de téléphones ayant été abandonnés par leur propriétaire.
Étendue de la menace et réponse de Google
McAfee, qui a publié l’analyse, rapporte avoir identifié plus de 50 applications malveillantes sur le Play Store. Google a réagi en retirant les applis et en fermant les comptes des développeurs concernés. Play Protect est censé détecter les variantes connues, mais les chercheurs soulignent qu’une telle campagne exploitant la chaîne d’approvisionnement SDK (compromission d’un SDK tiers) complique la détection automatique.
Que peuvent faire les utilisateurs affectés ?
Leçons pour l’écosystème mobile
Plusieurs enseignements importants se dégagent :
Recommandations pratiques pour organisations et particuliers
Pour les entreprises, il est impératif de renforcer les politiques BYOD (Bring Your Own Device), d’imposer des niveaux de patch minimum et d’utiliser des solutions de gestion des terminaux mobiles (MDM) capables d’effectuer des inventaires et des actions de remédiation. Pour le grand public, la vigilance passe par des mises à jour régulières, la prudence quant aux applis installées (préférer des éditeurs fiables) et la sauvegarde régulière des données.
La découverte de NoVoice rappelle brutalement que la sécurité mobile dépend autant de pratiques industrielles robustes que du comportement des utilisateurs. Tant que des pans entiers de l’écosystème Android resteront mal patchés, des campagnes de ce type pourront renaître et prospérer.
