NoVoice : un malware Android sur Google Play vole les

La veille cybersécurité permanente est devenue une nécessité opérationnelle pour les équipes de sécurité, permettant d'anticiper les nouvelles menaces, de prioriser les actions de remédiation et d'adapter les stratégies de défense en temps réel. L'actualité de la cybersécurité est marquée par une accélération sans précédent des menaces, des vulnérabilités et des incidents affectant organisations et particuliers à l'échelle mondiale. Les équipes de sécurité doivent maintenir une veille permanente pour anticiper les risques émergents, appliquer les correctifs critiques et adapter leurs stratégies de défense. Cette analyse décrypte les derniers événements marquants du paysage cyber et leurs implications concrètes pour la protection de vos systèmes d'information. À travers l'analyse de NoVoice : un malware Android sur Google Play vole , nous vous proposons un décryptage complet des enjeux et des solutions à mettre en œuvre.

Ce qui s'est passé

Des chercheurs de McAfee, membre de l'App Defense Alliance, ont découvert un nouveau malware Android baptisé NoVoice, dissimulé dans plus de 50 applications disponibles sur le Google Play Store. Ces applications, qui se présentaient comme des utilitaires de nettoyage, des galeries photo ou des jeux, totalisaient au moins 2,3 millions de téléchargements. Elles ne demandaient aucune permission suspecte et fonctionnaient normalement en apparence.

La particularité de NoVoice réside dans sa capacité à obtenir un accès root sur les appareils infectés. Le malware exploite un arsenal de 22 vulnérabilités Android anciennes, corrigées entre 2016 et 2021, incluant des failles use-after-free dans le noyau et des bugs dans les pilotes GPU Mali. Une fois le root obtenu, NoVoice désactive SELinux et remplace des bibliothèques système critiques comme libandroid_runtime.so par des versions modifiées qui interceptent les appels système.

L'objectif principal est le vol de sessions WhatsApp. Lorsque la messagerie est lancée sur un appareil compromis, NoVoice extrait les bases de données chiffrées, les clés du protocole Signal, le numéro de téléphone et les identifiants de sauvegarde Google Drive. Ces données sont exfiltrées vers un serveur de commande et contrôle (C2), permettant aux attaquants de cloner la session WhatsApp de la victime sur leur propre appareil. Le malware interroge le C2 toutes les 60 secondes pour télécharger des composants d'exploitation spécifiques à chaque modèle de smartphone, selon BleepingComputer.

Pourquoi c'est important

Cette campagne illustre la persistance des risques liés aux malwares sur les stores officiels. Malgré les contrôles de Google Play Protect, des applications malveillantes continuent de passer entre les mailles du filet, surtout lorsqu'elles exploitent des vulnérabilités du noyau plutôt que des permissions Android classiques. Le ciblage spécifique de WhatsApp — utilisé par plus de deux milliards de personnes — maximise l'impact potentiel : vol de conversations privées, usurpation d'identité et compromission de contacts professionnels.

Le fait que NoVoice exploite des failles datant de plusieurs années souligne un problème structurel de l'écosystème Android : de nombreux appareils ne reçoivent plus de mises à jour de sécurité, laissant des millions d'utilisateurs exposés à des exploits pourtant connus et documentés.

Ce qu'il faut retenir

• Vérifiez et mettez à jour immédiatement vos appareils Android — les correctifs de sécurité mensuels corrigent les failles exploitées par NoVoice.
• Désinstallez toute application suspecte récemment installée et lancez un scan avec Google Play Protect ou un antivirus mobile réputé.
• Les entreprises doivent renforcer leurs politiques MDM pour imposer un niveau minimum de patch de sécurité sur les appareils accédant aux données professionnelles.