NoVoice : un rootkit Android caché dans 50 apps du Play

Ce qui s'est passé

Des chercheurs en sécurité ont mis au jour NoVoice, un malware Android distribué à grande échelle via la boutique officielle de Google. Le NoVoice rootkit Android Play Store se cachait dans plus de 50 applications légitimes en apparence — utilitaires système, galeries d'images, lecteurs multimédias et jeux — cumulant au moins 2,3 millions de téléchargements avant leur retrait. Une fois installée, l'application contacte un serveur de commande et de contrôle qui lui transmet une charge utile secondaire, chargée d'obtenir des privilèges élevés et de dissimuler sa présence dans le système. Le code malveillant survit alors aux redémarrages, échappe aux analyses antivirus classiques et permet à ses opérateurs d'exfiltrer identifiants, messages et données bancaires. Cette campagne illustre la difficulté persistante de Google à filtrer les applications malveillantes soumises à son processus de validation.

NoVoice se distingue par sa capacité à exploiter 22 vulnérabilités Android différentes pour obtenir un accès root sur les appareils infectés. Une fois les privilèges élevés obtenus, le rootkit désactive SELinux, le mécanisme de sécurité obligatoire d'Android, puis modifie les bibliothèques système pour exécuter du code malveillant à chaque ouverture de certaines applications légitimes. Ce mécanisme de persistance permet au malware de survivre aux redémarrages et rend sa suppression particulièrement difficile sans une réinitialisation complète de l'appareil.

Parmi les capacités identifiées : installation silencieuse d'applications tierces, interception de données sensibles et maintien d'un accès permanent même après la suppression de l'application vecteur initiale. Les pays les plus touchés sont le Nigeria, l'Éthiopie, l'Algérie, l'Inde et le Kenya, ce qui suggère un ciblage délibéré de régions où les appareils Android sont souvent moins récents et plus vulnérables aux exploits de privilèges.

Pourquoi c'est important

Cette campagne illustre les limites persistantes du processus de vérification du Google Play Store. Malgré les améliorations apportées par Google Play Protect, des applications malveillantes continuent de passer entre les mailles du filet, en particulier lorsqu'elles ciblent des marchés où la sensibilisation à la cybersécurité est plus faible. Le nombre de vulnérabilités exploitées (22) témoigne du niveau de sophistication de l'opération et de la fragmentation de l'écosystème Android, où de nombreux appareils ne reçoivent plus de correctifs de sécurité.

Pour les entreprises gérant des flottes d'appareils Android, notamment dans des contextes BYOD, ce type de rootkit représente un risque majeur : un appareil compromis connecté au réseau d'entreprise peut servir de point d'entrée pour une attaque plus large. La capacité de NoVoice à désactiver SELinux et modifier les bibliothèques système rend la détection par les solutions de sécurité mobiles classiques particulièrement complexe.

Ce qu'il faut retenir

• Vérifier les permissions demandées par les applications avant installation et privilégier les éditeurs connus et vérifiés sur le Play Store.
• Maintenir les appareils Android à jour et éviter les modèles ne recevant plus de correctifs de sécurité dans un contexte professionnel.
• Déployer une solution de Mobile Threat Defense (MTD) capable de détecter les tentatives d'élévation de privilèges et les modifications système anormales.

Le choix des 22 vulnérabilités exploitées par NoVoice n'est pas anodin : plusieurs correspondent à des failles de type use-after-free et à des défauts de vérification des permissions dans des composants noyau spécifiques à certains fabricants, notamment sur des puces MediaTek et Unisoc largement répandues dans les smartphones d'entrée de gamme vendus en Afrique et en Asie du Sud. Cette approche « exploit-as-a-service » rappelle la logique commerciale de frameworks comme AbstractEmu (2022) ou du rootkit Zen découvert en 2023, qui combinaient déjà plusieurs chaînes d'exploitation dans un seul module pour maximiser le taux de réussite indépendamment du modèle d'appareil ciblé. La différence notable avec NoVoice réside dans l'échelle de la distribution initiale via Google Play, un canal généralement considéré comme plus fiable que le sideloading.

Le ciblage géographique observé — Nigeria, Éthiopie, Algérie, Inde, Kenya — coïncide avec des marchés où le taux de renouvellement des smartphones est faible et où une part importante du parc Android tourne encore sur des versions antérieures à Android 12, non couvertes par les correctifs de sécurité les plus récents. Selon les données de fragmentation publiées par Google, plus de 40 % des appareils actifs dans ces régions n'ont pas reçu de mise à jour de sécurité depuis plus de 12 mois, un facteur qui explique en partie pourquoi les opérateurs de NoVoice ont pu miser sur un arsenal de 22 exploits distincts sans crainte de voir leur taux de succès s'effondrer.

Un signal d'alerte pour la chaîne de confiance des stores mobiles

Cet incident s'inscrit dans une tendance de fond documentée par plusieurs éditeurs de sécurité mobile depuis 2024 : l'augmentation du nombre de rootkits distribués via des stores officiels plutôt que par sideloading, à mesure que les utilisateurs se méfient davantage des APK hors store. Les auteurs de malwares adaptent leurs techniques d'évasion pour passer les contrôles automatisés de Google Play Protect, notamment en retardant l'activation du code malveillant après l'installation ou en le téléchargeant dynamiquement depuis un serveur de commande une fois l'application jugée « de confiance » par le système de scoring de Google. Pour les entreprises disposant de flottes BYOD, cette évolution renforce l'argument en faveur d'une solution de gestion des appareils mobiles (MDM) intégrant une détection comportementale, les signatures statiques traditionnelles s'avérant insuffisantes face à ce type de menace polymorphe et modulaire.