NoVoice : un rootkit Android caché dans 50 apps du Play Store

Ce qui s'est passé

Des chercheurs en sécurité ont identifié un nouveau malware Android baptisé NoVoice, distribué via plus de 50 applications présentes sur le Google Play Store. Ces applications, téléchargées au moins 2,3 millions de fois, se faisaient passer pour des utilitaires courants, des galeries d'images et des jeux pour tromper la vigilance des utilisateurs. Une fois installé, le malware contacte un serveur de commande distant pour transmettre les informations de l'appareil et télécharger des exploits adaptés au modèle ciblé.

NoVoice se distingue par sa capacité à exploiter 22 vulnérabilités Android différentes pour obtenir un accès root sur les appareils infectés. Une fois les privilèges élevés obtenus, le rootkit désactive SELinux, le mécanisme de sécurité obligatoire d'Android, puis modifie les bibliothèques système pour exécuter du code malveillant à chaque ouverture de certaines applications légitimes. Ce mécanisme de persistance permet au malware de survivre aux redémarrages et rend sa suppression particulièrement difficile sans une réinitialisation complète de l'appareil.

Parmi les capacités identifiées : installation silencieuse d'applications tierces, interception de données sensibles et maintien d'un accès permanent même après la suppression de l'application vecteur initiale. Les pays les plus touchés sont le Nigeria, l'Éthiopie, l'Algérie, l'Inde et le Kenya, ce qui suggère un ciblage délibéré de régions où les appareils Android sont souvent moins récents et plus vulnérables aux exploits de privilèges.

Pourquoi c'est important

Cette campagne illustre les limites persistantes du processus de vérification du Google Play Store. Malgré les améliorations apportées par Google Play Protect, des applications malveillantes continuent de passer entre les mailles du filet, en particulier lorsqu'elles ciblent des marchés où la sensibilisation à la cybersécurité est plus faible. Le nombre de vulnérabilités exploitées (22) témoigne du niveau de sophistication de l'opération et de la fragmentation de l'écosystème Android, où de nombreux appareils ne reçoivent plus de correctifs de sécurité.

Pour les entreprises gérant des flottes d'appareils Android, notamment dans des contextes BYOD, ce type de rootkit représente un risque majeur : un appareil compromis connecté au réseau d'entreprise peut servir de point d'entrée pour une attaque plus large. La capacité de NoVoice à désactiver SELinux et modifier les bibliothèques système rend la détection par les solutions de sécurité mobiles classiques particulièrement complexe.

Ce qu'il faut retenir

• Vérifier les permissions demandées par les applications avant installation et privilégier les éditeurs connus et vérifiés sur le Play Store.
• Maintenir les appareils Android à jour et éviter les modèles ne recevant plus de correctifs de sécurité dans un contexte professionnel.
• Déployer une solution de Mobile Threat Defense (MTD) capable de détecter les tentatives d'élévation de privilèges et les modifications système anormales.