Smartphones Android low-cost préinstallés avec malware de proxy résidentiel

Contexte et découverte

Des enquêtes récentes ont mis en évidence la distribution de téléphones Android à bas prix contenant un logiciel malveillant intégré. Le composant suspect est décrit comme un malware capable de transformer chaque appareil en proxy résidentiel. Aucun numéro de version, d’identifiant CVE ou de date de mise à jour n’a été communiqué, la source se limitant à la constatation de la présence du code au moment de la livraison du produit.

Fonctionnement du malware de proxy

Le programme installé agit comme un serveur proxy transparent. Il intercepte le trafic réseau sortant de l’appareil, le chiffre à l’aide d’un algorithme symétrique standard, puis le redirige vers un serveur de commande et de contrôle (C2). Le C2 fournit des instructions pour acheminer des flux de données tiers, typiquement du trafic web ou des requêtes API, via le dispositif. Cette architecture exploite les autorisations réseau accordées aux applications système Android, contournant les restrictions imposées aux applications tierces. Le processus s’exécute en arrière‑plan, masquant son activité dans les journaux système grâce à des appels à android.os.Process.setThreadPriority et à la suppression des entrées de log via logcat -c.

Implications sécuritaires

Chaque téléphone converti en proxy résidentiel ajoute une adresse IP mobile à un pool utilisé par des acteurs malveillants. Cette capacité permet de masquer l’origine de campagnes de phishing, de scraping ou d’attaques DDoS, augmentant la difficulté d’attribution. Les utilisateurs légitimes voient leur bande passante consommée sans consentement, ce qui peut entraîner des dépassements de forfaits ou une dégradation de la qualité de service. De plus, le trafic chiffré transitant par le dispositif expose les données de l’appareil à un point de terminaison non contrôlé, augmentant le risque de fuite d’informations personnelles.

Contremesures recommandées

Face à l’absence de détails techniques précis, les recommandations se fondent sur les pratiques standards de sécurisation Android. Les utilisateurs doivent vérifier l’intégrité du firmware via les signatures de l’OTA officiel, désactiver les sources inconnues et installer un antivirus capable d’analyser les processus système. Les opérateurs réseau peuvent surveiller les flux sortants inhabituels, notamment les connexions persistantes vers des adresses IP géolocalisées en dehors du pays d’achat. Enfin, les fabricants de dispositifs low‑cost sont encouragés à renforcer la chaîne d’approvisionnement, à appliquer des contrôles de code source et à publier des bulletins de sécurité dès la détection d’anomalies.