NoVoice : malware Android espion vocal sur Google Play

Le malware Android Google Play NoVoice illustre une mutation préoccupante des menaces mobiles : un espion vocal capable d'enregistrer les conversations à l'insu des utilisateurs, distribué via des applications en apparence légitimes validées par les contrôles de la boutique officielle. Cette campagne confirme que la confiance accordée aux magasins d'applications ne suffit plus à garantir l'intégrité des terminaux professionnels. Pour les équipes de sécurité, l'enjeu dépasse la simple détection : il impose une veille permanente, une politique de gestion de flotte mobile rigoureuse et une sensibilisation continue des collaborateurs aux permissions accordées aux applications. Analyse technique du fonctionnement de NoVoice, de ses mécanismes d'exfiltration audio, des indicateurs de compromission associés et des mesures concrètes à déployer pour protéger votre parc Android contre cette catégorie d'espiogiciels de plus en plus sophistiqués.

Ce qui s'est passé

Des chercheurs de McAfee, membre de l'App Defense Alliance, ont découvert un nouveau malware Android baptisé NoVoice, dissimulé dans plus de 50 applications disponibles sur le Google Play Store. Ces applications, qui se présentaient comme des utilitaires de nettoyage, des galeries photo ou des jeux, totalisaient au moins 2,3 millions de téléchargements. Elles ne demandaient aucune permission suspecte et fonctionnaient normalement en apparence.

La particularité de NoVoice réside dans sa capacité à obtenir un accès root sur les appareils infectés. Le malware exploite un arsenal de 22 vulnérabilités Android anciennes, corrigées entre 2016 et 2021, incluant des failles use-after-free dans le noyau et des bugs dans les pilotes GPU Mali. Une fois le root obtenu, NoVoice désactive SELinux et remplace des bibliothèques système critiques comme libandroid_runtime.so par des versions modifiées qui interceptent les appels système.

L'objectif principal est le vol de sessions WhatsApp. Lorsque la messagerie est lancée sur un appareil compromis, NoVoice extrait les bases de données chiffrées, les clés du protocole Signal, le numéro de téléphone et les identifiants de sauvegarde Google Drive. Ces données sont exfiltrées vers un serveur de commande et contrôle (C2), permettant aux attaquants de cloner la session WhatsApp de la victime sur leur propre appareil. Le malware interroge le C2 toutes les 60 secondes pour télécharger des composants d'exploitation spécifiques à chaque modèle de smartphone, selon BleepingComputer.

Pourquoi c'est important

Cette campagne illustre la persistance des risques liés aux malwares sur les stores officiels. Malgré les contrôles de Google Play Protect, des applications malveillantes continuent de passer entre les mailles du filet, surtout lorsqu'elles exploitent des vulnérabilités du noyau plutôt que des permissions Android classiques. Le ciblage spécifique de WhatsApp — utilisé par plus de deux milliards de personnes — maximise l'impact potentiel : vol de conversations privées, usurpation d'identité et compromission de contacts professionnels.

Le fait que NoVoice exploite des failles datant de plusieurs années souligne un problème structurel de l'écosystème Android : de nombreux appareils ne reçoivent plus de mises à jour de sécurité, laissant des millions d'utilisateurs exposés à des exploits pourtant connus et documentés.

Ce qu'il faut retenir

• Vérifiez et mettez à jour immédiatement vos appareils Android — les correctifs de sécurité mensuels corrigent les failles exploitées par NoVoice.
• Désinstallez toute application suspecte récemment installée et lancez un scan avec Google Play Protect ou un antivirus mobile réputé.
• Les entreprises doivent renforcer leurs politiques MDM pour imposer un niveau minimum de patch de sécurité sur les appareils accédant aux données professionnelles.