CybersécuritéExplication
Smartphones Android piégés en usine : la France parmi les plus touchés
Des téléphones Android à bas prix, parfois vendus sous des noms de modèles haut de gamme, sortent d’usine avec un programme malveillant impossible à désinstaller. Selon Bitdefender, la France figure parmi les trois pays les plus touchés.
Avant même leur premier allumage, des milliers de smartphones Android vendus à bas prix contiennent un programme qui installe des applications à l’insu de leur propriétaire, affiche des publicités qu’il ne voit pas toujours et peut prêter sa connexion à des inconnus. Les chercheurs de l’éditeur d’antivirus Bitdefender ont baptisé cette campagne Midnight Mimosa et l’ont décrite le 8 octobre dans un billet technique. Sur environ deux ans, elle a été observée sur « des milliers d’appareils » dans plus de 150 pays. Dans les relevés de Bitdefender, la répartition est « menée par le Mexique, la France et l’Italie », devant les États-Unis, l’Allemagne, le Brésil et l’Espagne ; Bitdefender ne publie pas de chiffres par pays.
Un passager clandestin dans le système
Le programme ne s’attrape pas en cliquant sur un mauvais lien : il fait partie du firmware, le logiciel de base que le fabricant installe dans le téléphone avant de le mettre en boîte. Il s’y présente comme une application système au nom anodin, du type « com.android.sys.prot », et porte la signature de plateforme, la clé numérique du fabricant qui donne à une application les mêmes droits que le système lui-même. Conséquence, écrit Bitdefender : il ne peut pas être désinstallé « par la voie normale ».
Avec ces droits, il dépose et retire en silence des applications d’apparence banale : météo, verrouillage d’applications, prise de notes, lecture de texte dans les photos. Il active seul deux réglages sensibles, l’accessibilité (prévue pour les personnes handicapées, elle permet de lire tout ce qui s’affiche à l’écran) et l’accès aux notifications, et déclare des droits sur les SMS. Bitdefender n’a pas vu ces accès utilisés, mais ils restent disponibles pour les opérateurs du réseau.
Pendant chaque installation, le programme désactive le Play Store, ce qui coupe du même coup Play Protect, l’antivirus intégré d’Android : il « aveugle » la protection de Google le temps de déposer ses charges, puis la rétablit.
L’argent vient de deux sources. D’abord la fraude publicitaire : des publicités plein écran ouvertes sans que l’utilisateur ait rien lancé, ou superposées à ce qu’il regarde, réglées pour ne pas apparaître sur les captures d’écran. Ensuite le « proxy résidentiel » : le téléphone devient un relais par lequel des tiers font passer leur trafic, qui semble alors venir d’un particulier ordinaire. Selon Bitdefender, ce relais peut même atteindre les autres appareils du réseau domestique.
De faux haut de gamme et de petites marques
Les appareils en cause tournent sur des puces MediaTek. Bitdefender cite deux modèles de marques réelles, le Doogee S200 X et le Cubot KingKong X, les plus représentés dans ses relevés, et surtout des contrefaçons : des téléphones bon marché qui se déclarent comme « S24 Ultra », « S25 Ultra » ou « i17 Pro Max », proposés selon l’éditeur sur une grande place de marché en ligne, qu’il ne nomme pas. Cette vente par Internet explique, d’après lui, une carte à deux foyers principaux suivis d’une longue traîne, là où un opérateur ou un distributeur national dessinerait un seul grand marché.
Une partie des firmwares piégés est signée avec des certificats rattachés à Shenzhen Zediel, un fabricant chinois ; d’autres téléphones, sans firmware signé par Zediel, embarquent le même programme, selon Bitdefender. L’éditeur prévient que cette signature « ne constitue pas une preuve » que l’entreprise a écrit, distribué ou même connu le programme : on sait où le code a été scellé, pas qui l’y a glissé.
Le même code ne se limite pas aux téléphones piégés. Treize applications publiées sur Google Play portaient les mêmes marqueurs, dans des versions distribuées par la boutique elle-même. Privées des droits système, elles sont moins nocives que la version préinstallée, mais restent « dangereuses » : tout en rendant le service promis, elles affichent des publicités hors de l’application, parfois quand le téléphone n’est même pas utilisé. Le billet ne dit pas si Google a été prévenu, et ne fait état d’aucune réaction de Google ou des fabricants cités. Le 12 octobre à 8 h 08, les treize applications étaient toujours proposées sur Google Play, comme lors d’un premier relevé la veille ; parmi elles, des outils de météo (WeatherGo, CoolWeather, Daily Weather), de récupération de messages ou de traduction (liste complète ci-dessous).
Les treize applications signalées par Bitdefender
Identifiants publiés par Bitdefender, dans l’ordre de son billet ; noms tels qu’ils s’affichaient sur Google Play lors des relevés de la rédaction des 11 et 12 octobre. L’identifiant (ou « nom de paquet ») est la fin de l’adresse de la fiche Google Play, après id= : c’est lui qui distingue une application d’une autre, car un même nom peut être porté par plusieurs applications.
| Nom affiché sur Google Play | Identifiant |
|---|---|
| Wavrge | com.audify.editor.wavrge |
| App Icon DIY | appicon.diy.tools.prop |
| Audify | com.audify.editor.pro |
| QR Pocket | com.prorestore.qr |
| All Deleted Messages Recovery | com.message.recovery.prorestore |
| WeatherGo | com.go.weather.mot |
| CoolWeather | com.cool.weather.yl |
| Daily Weather | com.dmstudio.weather |
| Lock & Hide | com.dl.guard.lock |
| QuickText Extractor | picturetranslate.extractor.text.lite |
| NoteMaster | com.notemaster.record.mark |
| Tap to Translate | com.arabmusic.tap.aghani_tamerhosny |
| Tasky | org.life.goal.tools |
Les treize fiches étaient toujours en ligne le 12 octobre, à 8 h 08.
Le maillon faible : la fabrication
Midnight Mimosa n’est pas un cas isolé. En juin 2025, le FBI alertait sur BADBOX 2.0, des « millions » de boîtiers télé, projecteurs ou cadres photo piégés avant l’achat ou au premier démarrage ; Google a porté plainte contre ses opérateurs en juillet 2025, en soulignant que les plus de 10 millions d’appareils touchés n’étaient pas certifiés. En février 2026, Kaspersky a décrit Keenadu, une porte dérobée glissée dans le firmware de tablettes au moment où leur logiciel était assemblé : leurs fabricants pouvaient ignorer l’infection avant la mise en vente, selon ses chercheurs. Kaspersky y voit « un marché à part entière, avec une concurrence importante ».
Le point commun tient à l’organisation du bas de gamme. Bitdefender parle d’appareils « multimarques » et relève dans les firmwares des repères typiques des appareils « sans nom » conçus par des sous-traitants (ODM, pour original design manufacturer) : des usines qui dessinent et produisent des téléphones vendus ensuite sous d’autres marques. L’acheteur ne voit aucun des intervenants qui ont pu toucher au logiciel. L’éditeur résume l’équation économique : Internet est « inondé » de téléphones Android extrêmement bon marché, parfois contrefaits, et une façon de rentrer dans ses frais sur du matériel vendu si peu cher est d’y charger un logiciel « qui rapporte ensuite ».
D’où sa conclusion : la solution durable ne revient pas à l’acheteur, mais « aux fabricants et aux places de marché » qui livrent et vendent ces firmwares. Tant qu’ils ne trient pas, l’acheteur n’a qu’un filtre imparfait, la certification de Google, et sa méfiance devant un haut de gamme à prix de bas de gamme.
Les citations de Bitdefender, du FBI, de Google et de Kaspersky sont traduites de l’anglais par la rédaction.
