Les utilisateurs d’Android pourraient avoir une mauvaise surprise : une faille récemment découverte pourrait bloquer leurs téléphones dans des boucles de redémarrage sans fin.
Baptisée GhostMap, cette vulnérabilité permet à une application Android spécialement conçue de placer un appareil dans une boucle de plantage sans fin. L’attaque ne nécessite aucune autorisation particulière ni même l’ouverture de l’application, ce qui la rend particulièrement dangereuse pour les utilisateurs qui ne se méfient pas et ont appris à considérer toute application demandant des autorisations exceptionnellement sensibles comme un signal d’alerte rouge.
Des chercheurs de Bitdefender ont découvert la faille et affirment qu’elle touche Android 10 et les versions ultérieures, après des tests concluants sur un Google Pixel 10 équipé de la mise à jour de sécurité d’août 2026. Plus préoccupant encore, Google a refusé de s’engager à fournir une mise à jour de sécurité pour corriger le problème, malgré la réception présumée d’une preuve de concept fonctionnelle.
Décortiquer GhostMap
GhostMap ne cherche pas à dérober vos identifiants bancaires ni à voler votre argent. Du moins, Bitdefender n’a établi aucun objectif de ce genre. La faille exploite plutôt une faiblesse d’Android lui-même pour nuire directement aux utilisateurs.
L’enquête de Bitdefender a commencé le 12 août 2026, après qu’un dropper bancaire suspect a fait planter à plusieurs reprises ses émulateurs d’analyse Android.
Fait intéressant, l’application ne s’est jamais réellement exécutée. Une analyse plus poussée a révélé que le véritable problème venait de la manière dont Android traitait certaines informations contenues dans les fichiers d’application.
Les applications Android se présentent généralement sous la forme d’Android Package Kits (APK), des archives contenant du code applicatif, des images et d’autres ressources. Le système d’exploitation doit traiter ces éléments lors de l’installation et lorsque les composants du système y accèdent. GhostMap exploite une faiblesse de ce processus.
Plus précisément, deux composants d’Android, libziparchive et libandroidfw, interprètent différemment certaines métadonnées des APK. Un champ décrit la manière dont un fichier est compressé, tandis qu’un autre indique sa taille attendue après décompression. Un attaquant peut manipuler ces informations afin qu’Android traite un fichier avec une taille incorrecte.
Lorsque Android tente de mapper le fichier malformé en mémoire, il peut accéder à un emplacement mémoire invalide, ce qui déclenche une erreur SIGBUS et fait planter le processus concerné.
Le problème est qu’Android redémarre automatiquement le processus qui a planté, ce qui est idéal en temps normal, mais comme il rencontre ensuite la même ressource malformée, il plante encore, puis encore.
Les chercheurs ont enregistré 110 cycles de plantage en mode normal et 72 en mode sans échec. Aucun des deux modes n’a permis de sortir de la boucle de manière fiable.
Google ne s’est pas engagé à fournir un correctif de sécurité
Bitdefender ne s’est pas contenté de découvrir la faille avant de passer à autre chose. Comme elle se trouve au cœur même d’Android, les chercheurs ont tenté à deux reprises d’obtenir de Google qu’il la corrige avant de rendre leurs conclusions publiques.
Le premier rapport a été envoyé le 20 août, mais Google l’a classé comme « Won’t Fix (Not Reproducible) ».
Bitdefender est revenu à la charge avec des éléments supplémentaires, dont une preuve de concept fonctionnelle démontrant l’impact potentiel. Google a ensuite estimé que le problème ne relevait pas du périmètre d’une mise à jour de sécurité et l’a transmis à une autre équipe pour un éventuel examen ultérieur.
Bitdefender a publié ses conclusions le 5 novembre, sans qu’aucune mise à jour de sécurité ne soit prévue pour corriger la vulnérabilité. Bien que les chercheurs aient trouvé le dropper bancaire d’origine en circulation, ils n’ont pas observé d’attaquants utilisant la technique de boucle de plantage persistante contre de véritables victimes.
Cependant, le danger réside désormais dans le fait que les détails techniques sont publics, ce qui permet aux attaquants d’étudier la faille et de s’empresser de développer leurs propres exploits avant que Google ne fournisse un correctif.
Voici comment rester en sécurité
L’exploit étant désormais public et aucune mise à jour de sécurité n’étant prévue pour le corriger, éviter l’exposition à un APK malveillant devrait être une priorité.
Les précautions habituelles lors de l’installation d’applications restent d’actualité :
- Privilégiez les sources fiables, de préférence Google Play
- Évitez de télécharger des APK depuis des sites inconnus
- Méfiez-vous des applications partagées par des liens non sollicités ou des plateformes de messagerie
- Vérifiez le développeur d’une application en vous appuyant sur plusieurs sources indépendantes avant d’installer une application. C’est particulièrement important, car une application capable de provoquer un tel plantage n’a même pas besoin de s’exécuter.
La première solution consiste à rétablir les paramètres d’usine. Bitdefender a constaté qu’il s’agissait de la seule option de récupération fiable lors de ses tests. Cette opération devrait rendre à l’appareil un état utilisable, mais elle efface également toutes vos données. Si vous disposez d’une sauvegarde récente, les dégâts peuvent rester limités. Dans le cas contraire, vous risquez de perdre bien plus que l’accès à votre téléphone.
Les chercheurs ont également identifié Android Debug Bridge (ADB) comme un moyen possible de supprimer l’application malveillante depuis un ordinateur connecté. Cette méthode nécessite que le débogage USB ait été activé au préalable et peut dépendre du fait que l’ordinateur ait déjà été autorisé à communiquer avec l’appareil.
Pour la plupart des utilisateurs, ces conditions font d’ADB une solution d’urgence peu pratique.
En attendant la disponibilité d’un correctif, éviter les APK non fiables et conserver des sauvegardes à jour restent des précautions importantes contre une vulnérabilité qui pourrait contraindre les utilisateurs à choisir entre des plantages continus de leur appareil et une réinitialisation d’usine.
Autre information : les recherches de CrowdStrike ont révélé que des attaquants avaient commencé à exploiter une vulnérabilité seulement 35 minutes après la mise à disposition publique du code de preuve de concept, soulignant la rapidité avec laquelle les cybercriminels peuvent militariser les failles nouvellement divulguées et la pression croissante exercée sur les équipes de sécurité pour corriger les systèmes vulnérables.