NoVoice : un malware Android sur Google Play vole les sessions WhatsApp

Ce qui s'est passé

Des chercheurs de McAfee, membre de l'App Defense Alliance, ont découvert un nouveau malware Android baptisé NoVoice, dissimulé dans plus de 50 applications disponibles sur le Google Play Store. Ces applications, qui se présentaient comme des utilitaires de nettoyage, des galeries photo ou des jeux, totalisaient au moins 2,3 millions de téléchargements. Elles ne demandaient aucune permission suspecte et fonctionnaient normalement en apparence.

La particularité de NoVoice réside dans sa capacité à obtenir un accès root sur les appareils infectés. Le malware exploite un arsenal de 22 vulnérabilités Android anciennes, corrigées entre 2016 et 2021, incluant des failles use-after-free dans le noyau et des bugs dans les pilotes GPU Mali. Une fois le root obtenu, NoVoice désactive SELinux et remplace des bibliothèques système critiques comme libandroid_runtime.so par des versions modifiées qui interceptent les appels système.

L'objectif principal est le vol de sessions WhatsApp. Lorsque la messagerie est lancée sur un appareil compromis, NoVoice extrait les bases de données chiffrées, les clés du protocole Signal, le numéro de téléphone et les identifiants de sauvegarde Google Drive. Ces données sont exfiltrées vers un serveur de commande et contrôle (C2), permettant aux attaquants de cloner la session WhatsApp de la victime sur leur propre appareil. Le malware interroge le C2 toutes les 60 secondes pour télécharger des composants d'exploitation spécifiques à chaque modèle de smartphone, selon BleepingComputer.

Pourquoi c'est important

Cette campagne illustre la persistance des risques liés aux malwares sur les stores officiels. Malgré les contrôles de Google Play Protect, des applications malveillantes continuent de passer entre les mailles du filet, surtout lorsqu'elles exploitent des vulnérabilités du noyau plutôt que des permissions Android classiques. Le ciblage spécifique de WhatsApp — utilisé par plus de deux milliards de personnes — maximise l'impact potentiel : vol de conversations privées, usurpation d'identité et compromission de contacts professionnels.

Le fait que NoVoice exploite des failles datant de plusieurs années souligne un problème structurel de l'écosystème Android : de nombreux appareils ne reçoivent plus de mises à jour de sécurité, laissant des millions d'utilisateurs exposés à des exploits pourtant connus et documentés.

Ce qu'il faut retenir

• Vérifiez et mettez à jour immédiatement vos appareils Android — les correctifs de sécurité mensuels corrigent les failles exploitées par NoVoice.
• Désinstallez toute application suspecte récemment installée et lancez un scan avec Google Play Protect ou un antivirus mobile réputé.
• Les entreprises doivent renforcer leurs politiques MDM pour imposer un niveau minimum de patch de sécurité sur les appareils accédant aux données professionnelles.