Une application piégée peut bloquer un téléphone Android au démarrage dès son installation

Le 12 août, une application Android récupérée sur Internet fait planter les émulateurs de Bitdefender au moment même de son installation. C'est un cheval de Troie bancaire, camouflé sous une couche d'emballage, qui n'a jamais eu le temps de s'exécuter. En cherchant la cause, l'éditeur roumain de sécurité découvre que le défaut ne vient pas du logiciel malveillant, mais d'Android lui-même.

Bitdefender a publié ses résultats le 5 novembre sous le nom de GhostMap. Selon lui, un fichier d'installation (APK) malformé peut faire planter un téléphone en boucle. Il n'a besoin d'aucune autorisation et ne contient aucun code exécutable. L'utilisateur n'a même pas à l'ouvrir. Android 10 et les versions suivantes sont concernés, d'après les chercheurs, qui ont reproduit l'attaque sur un Pixel 10 sous Android 17 doté du correctif du 5 août.

Deux composants d'Android qui ne lisent pas le même fichier

Un APK est une archive ZIP. Chaque élément y déclare sa méthode de compression et sa taille. Deux bibliothèques d'Android vérifient ces informations différemment, explique Bitdefender. Un élément qui annonce une méthode non prise en charge passe entre les deux contrôles. Le système réserve alors en mémoire plus d'espace que le fichier n'en contient. Le processus qui lit cette zone est tué.

Dans la variante la plus gênante, le fichier piégé est lu automatiquement par system_server, le service central d'Android, après l'installation. Le service plante, redémarre, relit le fichier et replante. Lors d'un essai, le cycle s'est répété 110 fois, l'écran figé sur l'animation de démarrage. Le mode sans échec n'y change rien. Bitdefender précise n'avoir vu cette boucle utilisée contre personne.

Google n'y voit pas matière à correctif de sécurité

Le 20 août, Bitdefender signale le problème à Google, qui le classe « Won't Fix (Not Reproducible) », hors du périmètre de son programme de récompenses. Le 25 août, un second rapport arrive avec une démonstration fonctionnelle. Google maintient que le sujet ne relève pas d'une mise à jour de sécurité, mais le transmet à l'équipe concernée pour une éventuelle prise en compte dans une future version. Interrogé par BleepingComputer, Google n'avait pas encore répondu au moment de la publication de son article.

Que faire si votre téléphone tourne en boucle ?

• La réinitialisation d'usine est le seul remède fiable décrit par Bitdefender. Elle efface toutes les données : une sauvegarde récente change tout.
• Le débogage USB permet parfois de supprimer le fichier depuis un ordinateur, s'il était activé auparavant et seulement avant le premier redémarrage complet du système.
• Méfiez-vous des APK installés hors du Play Store. Bitdefender ne dit pas si la boutique de Google détecterait ces fichiers.
• L'antivirus mobile que vend Bitdefender repère le fichier et prévient l'utilisateur, et d'autres pourraient en faire autant, mais aucune application tierce ne peut bloquer l'installation.

Pour Bitdefender, la parade tient en une règle : refuser toute méthode de compression autre que les deux qu'Android sait lire. Reste à savoir si Google l'appliquera, et dans quelle version.