Des chercheurs en cybersécurité de Kaspersky et de l’université technique de Munich ont documenté un nouveau type de malware Android baptisé NoVoice. Sa particularité : il survit à la réinitialisation usine du téléphone en se nichant dans la partition de firmware, un espace normalement inaccessible aux applications. L’IA joue un rôle central dans sa capacité d’évasion.
- Comment NoVoice fonctionne
- Pourquoi le reset usine ne suffit pas
- L'ampleur de la menace
- Ce que NoVoice vole
- Comment savoir si vous êtes touché
- Comment se protéger
- Questions fréquentes
- Pourquoi un antivirus classique ne détecte-t-il pas NoVoice ?
- Les téléphones récents sous Android 14 ou 15 sont-ils vulnérables ?
- Que faire si mon téléphone est infecté par NoVoice ?
- Sources
Comment NoVoice fonctionne
NoVoice exploite une chaîne de vulnérabilités dans le processus de démarrage d’Android. Le malware s’installe d’abord via une application apparemment légitime (souvent un clone d’application populaire distribué hors Play Store). Une fois exécuté, il exploite une faille d’escalade de privilèges pour écrire dans la partition système du firmware.
C’est là que l’IA entre en jeu : NoVoice utilise un petit modèle de machine learning embarqué pour analyser le comportement de l’utilisateur et adapter sa stratégie d’évasion. Il peut modifier son propre code pour éviter les signatures antivirales, rester dormant pendant les scans de sécurité et ne s’activer que lorsque certaines conditions sont réunies.
Pourquoi le reset usine ne suffit pas
La réinitialisation usine efface la partition « data » d’Android, mais pas la partition « system » ou « vendor ». NoVoice se loge dans ces partitions protégées, ce qui signifie qu’il persiste même après un reset complet. Seul un reflash complet du firmware depuis un fichier sain peut l’éliminer — une opération hors de portée de la plupart des utilisateurs.
L’ampleur de la menace
Selon Kaspersky, NoVoice a été détecté sur plus de 50 000 appareils dans 12 pays, principalement en Asie du Sud-Est et en Europe de l’Est. Les appareils les plus touchés sont ceux fonctionnant sous des versions Android non mises à jour (Android 12 et antérieur) et ceux provenant de fabricants moins rigoureux sur les mises à jour de sécurité.
Ce que NoVoice vole
- Données bancaires et identifiants de connexion.
- Messages SMS (pour intercepter les codes 2FA).
- Enregistrement audio ambiant à intervalles aléatoires.
- Données de localisation GPS.
- Photos et documents stockés sur l’appareil.
Comment savoir si vous êtes touché
- Consommation de batterie anormalement élevée sans raison apparente.
- Trafic réseau suspect en arrière-plan (vérifiable via les paramètres Android).
- Ralentissements inexpliqués, surtout au démarrage.
- Applications inconnues apparaissant brièvement avant de disparaître.
Comment se protéger
- Ne jamais installer d’applications hors du Google Play Store officiel.
- Maintenir Android à jour avec les derniers correctifs de sécurité.
- Utiliser un antivirus mobile réputé (Kaspersky, Bitdefender, Malwarebytes).
- Privilégier les appareils de fabricants proposant des mises à jour longues (Google Pixel, Samsung Galaxy).
- En cas d’infection suspectée : consulter un professionnel pour un reflash complet du firmware.
Vérifiez-vous régulièrement les permissions accordées aux applications sur votre smartphone ?
Questions fréquentes
Pourquoi un antivirus classique ne détecte-t-il pas NoVoice ?
NoVoice utilise un modèle de machine learning embarqué qui modifie son propre code pour échapper aux signatures antivirales. Il reste dormant pendant les scans de sécurité et ne s’active que lorsque certaines conditions sont réunies, ce qui le rend quasi invisible aux outils de détection traditionnels.
Les téléphones récents sous Android 14 ou 15 sont-ils vulnérables ?
Les appareils les plus touchés fonctionnent sous Android 12 et versions antérieures. Les versions récentes d’Android intègrent des protections renforcées de la partition firmware, mais aucun système n’est totalement immunisé. Les mises à jour de sécurité régulières restent la meilleure défense.
Que faire si mon téléphone est infecté par NoVoice ?
La réinitialisation usine ne suffit pas, car le malware se loge dans la partition firmware. Seul un reflash complet du firmware depuis une image officielle du fabricant peut l’éliminer. Cette opération nécessite généralement l’intervention d’un professionnel ou une bonne maîtrise technique.
Sources
À lire aussi
→ Comprendre ce terme dans notre glossaire IA
