Le malware Android NoVoice s’est diffusé par plus de 50 applications du Google Play Store, téléchargées au moins 2,3 millions de fois. Les chercheurs de McAfee, qui ont découvert l’opération, décrivent un rootkit capable de survivre à une réinitialisation d’usine. Cette persistance ne vaut toutefois que sur les appareils anciens, privés des correctifs de sécurité depuis 2021.
Le point sensible concerne donc moins la boutique d’applications que votre parc de téléphones. Un smartphone professionnel qui ne reçoit plus de mises à jour reste exposé, même après un nettoyage complet.
Comment le rootkit NoVoice s’installe et persiste
Les applications infectées ressemblaient à des outils ordinaires : nettoyeurs de téléphone, galeries d’images, jeux. De plus, elles ne demandaient aucune permission suspecte et rendaient le service promis. Aucun signal visible n’alertait donc l’utilisateur.
Au lancement, l’application tente d’obtenir les droits root. Elle exploite pour cela d’anciennes failles d’Android, corrigées entre 2016 et 2021. McAfee a observé 22 exploits, dont des failles du noyau et des pilotes graphiques Mali. Une fois root, l’attaquant désactive SELinux, le mécanisme qui cloisonne les applications.
Le rootkit installe ensuite plusieurs couches de persistance. D’abord des scripts de récupération, puis un remplacement du gestionnaire de plantage du système par son propre chargeur. Enfin, des charges de secours sont stockées sur la partition système.
Or une réinitialisation d’usine n’efface pas cette partition. Le malware survit donc au reset. De plus, un processus de surveillance vérifie toutes les 60 secondes l’intégrité du rootkit et réinstalle les composants manquants. En cas d’échec, il force le redémarrage du téléphone.
Les données visées : vos sessions WhatsApp
Une fois actif, le rootkit injecte du code dans chaque application lancée. Un premier module installe ou supprime des applications sans que l’utilisateur le voie. Un second module, en revanche, fonctionne dans toute application qui accède à Internet et sert au vol de données.
McAfee a constaté qu’il visait surtout WhatsApp. Au lancement de la messagerie, le malware extrait les bases de chiffrement, les clés du protocole Signal et les identifiants du compte : numéro de téléphone et informations de sauvegarde Google Drive. Les attaquants clonent ainsi la session WhatsApp de la victime sur leur propre appareil.
Autrement dit, ils lisent les conversations et écrivent au nom de la victime. Les chercheurs n’ont récupéré que ce module. Toutefois, la conception modulaire de NoVoice permet techniquement de viser n’importe quelle autre application.
Ce que le RGPD impose quand un téléphone professionnel est touché
Pour un employeur, un téléphone compromis qui contient des échanges professionnels touche des données personnelles : celles du salarié et celles de ses correspondants. L’article 32 du RGPD impose des mesures de sécurité adaptées au risque. Laisser circuler des appareils sans correctifs depuis 2021 se défend mal.
Si une session WhatsApp professionnelle a été clonée, traitez l’incident comme une violation de données. L’article 33 impose de la notifier à la CNIL dans les 72 heures après en avoir pris connaissance, sauf risque improbable pour les personnes. Lorsque le risque est élevé, l’article 34 impose aussi d’informer les personnes concernées. Pour la démarche, suivez notre tutoriel de notification d’une violation.
Protéger votre flotte contre le malware Android NoVoice
Commencez par l’inventaire. Relevez d’abord, pour chaque téléphone professionnel, la version d’Android et la date du dernier correctif de sécurité. Selon Google, les appareils mis à jour depuis mai 2021 sont protégés contre NoVoice.
Remplacez ensuite les modèles qui ne reçoivent plus de mises à jour. BleepingComputer recommande à tout utilisateur qui a installé une application infectée de considérer son appareil et ses données comme compromis. Un retour aux paramètres d’usine ne suffit donc pas sur un téléphone ancien.
La vérification des permissions reste utile. Elle n’a pourtant rien changé ici, puisque les applications NoVoice n’en demandaient aucune de suspecte. Limitez donc les installations à des éditeurs connus, même sur Google Play.
Enfin, gérez la flotte de façon centralisée : un outil de gestion des appareils mobiles bloque les modèles hors support et impose les mises à jour. Pour aller plus loin, lisez notre article sur la protection des téléphones professionnels face aux attaques ciblées.
Sources
Le fonctionnement du malware, les chiffres et la déclaration de Google viennent de l’article de BleepingComputer ‘NoVoice’ Android malware on Google Play infected 2.3 million devices, qui s’appuie sur l’analyse de McAfee.
Les articles 32, 33 et 34 cités figurent dans le règlement (UE) 2016/679 sur EUR-Lex.
Questions fréquentes
Comment savoir si mon téléphone Android est protégé contre NoVoice ?
Votre téléphone est protégé s’il a reçu un correctif de sécurité de mai 2021 ou plus récent.
Vérifiez donc la date du correctif dans les paramètres du téléphone, à la rubrique sécurité ou à propos, puis remplacez l’appareil si elle est antérieure.
Une réinitialisation d’usine supprime-t-elle le malware NoVoice ?
Non, pas sur un appareil ancien non mis à jour : le rootkit stocke des composants sur la partition système, que le reset n’efface pas.
Considérez l’appareil comme compromis.
Quelles applications contenaient NoVoice ?
Plus de 50 applications du Google Play Store, présentées comme des nettoyeurs, des galeries d’images ou des jeux.
Google les a retirées après le signalement de McAfee.
Le vol d’une session WhatsApp professionnelle est-il une violation de données ?
Oui, le clonage d’une session WhatsApp qui contient des échanges professionnels constitue une violation de données personnelles.
Notifiez la CNIL dans les 72 heures, sauf risque improbable, et informez les personnes si le risque est élevé.
