Une fausse mise à jour de Chrome lit vos discussions Telegram et WhatsApp
Une fausse mise à jour de Chrome installe un logiciel espion sur des téléphones Android dans plus de 26 pays. Positive Technologies a publié son analyse le 17 août : le programme, baptisé DragonDoll, arrive depuis une page qui copie le site officiel de Chrome, réclame une seule autorisation système et lit dès lors vos conversations Telegram, WhatsApp et Signal directement à l'écran. Les chercheurs ont collecté environ 150 échantillons en deux mois. Le plus utile à retenir n'est pas le nom du logiciel malveillant, mais la règle sur laquelle il compte : sous Android, Chrome ne se met jamais à jour depuis un site web.
Une mise à jour de navigateur proposée par une page est toujours fausse
Sous Android, Chrome est mis à jour par Google Play, en arrière-plan, sans jamais vous demander de télécharger quoi que ce soit. Le navigateur ne vous tend jamais un fichier d'installation, et les autres applications livrées avec le téléphone non plus. Une page qui annonce que votre Chrome est obsolète et propose la mise à jour sous forme de fichier n'a donc qu'un seul but, aussi soignée soit-elle.
Dans cette campagne, elle était soignée. La page copiait la mise en page du vrai site de Chrome et changeait de langue automatiquement selon celle du navigateur, avec 34 localisations dont le russe, l'ukrainien, l'arabe, le chinois, le coréen, l'hébreu et le persan. Le texte changeait même selon que le fichier était déjà installé ou non. Les adresses n'avaient rien à voir avec Google : le piège tournait sous des noms comme datewithmealways[.]site et digitaladstracking[.]com.
Une seule autorisation, et l'attaque est complète
Ce que réclame l'installateur, c'est le service d'accessibilité. Sous Android, ce réglage existe pour les personnes qui ne voient pas l'écran ou ne peuvent pas viser précisément : par conception, il peut donc lire tout ce qui est affiché et toucher l'écran à votre place. Le confier à une application inconnue revient à laisser un inconnu s'asseoir à côté de vous, regarder par-dessus votre épaule et manipuler le téléphone.
Une fois activé, DragonDoll lit les listes de conversations, les contacts, le texte des messages, les horodatages et les noms d'expéditeurs dans Signal et WhatsApp, et dans Telegram il intercepte en plus le contenu des notifications. Pour Viber et le reste, il récupère simplement le texte visible à l'écran. Le même canal lui donne les frappes clavier, y compris les champs de mot de passe, des captures d'écran, de fausses fenêtres posées sur les vraies applications, la lecture et l'envoi de SMS, les appels, les contacts et le contrôle à distance de l'appareil. Les chercheurs ont compté plus de cinquante commandes à la disposition de l'opérateur.
C'est pourquoi le chiffrement de votre messagerie ne joue aucun rôle ici. Signal et WhatsApp protègent un message en transit entre deux téléphones. DragonDoll se tient sur l'un de ces téléphones et lit le message déjà déchiffré, affiché à l'écran, exactement comme vous le lisez.
Vérifiez votre téléphone ce soir
- Ouvrez Paramètres, Accessibilité, et cherchez la liste des applications installées qui y ont accès. Sur la plupart des téléphones elle figure sous "Applications téléchargées" ou "Services installés". Tout ce que vous n'avez pas activé volontairement doit être désactivé. Un navigateur, un jeu ou une "mise à jour" n'ont rien à y faire.
- Allez dans Paramètres, Applications, Accès spéciaux, Installer des applications inconnues. Retirez l'autorisation à tout le monde, surtout au navigateur et aux messageries. C'est précisément ce réglage qui permet à une page web d'installer un programme.
- Dans le même menu, vérifiez l'accès aux notifications. Une application qui lit toutes les notifications voit les codes à usage unique et les aperçus de messages sans même ouvrir la messagerie.
- Ouvrez Paramètres, Sécurité, Applications d'administration de l'appareil. Sur un téléphone personnel, cette liste est en général vide ou ne contient que "Localiser mon appareil". Un administrateur d'appareil est plus difficile à supprimer, et c'est exactement pour cela que les logiciels malveillants le demandent.
- Lancez une analyse dans Google Play : votre photo en haut à droite, puis Play Protect et Analyser. Ce n'est pas un antivirus complet, mais il reconnaît les familles connues.
- Triez vos applications par date d'installation et regardez les plus récentes. Tout ce que vous ne reconnaissez pas ou n'avez pas installé vous-même doit partir.
Ce qui ne sert à rien ici. Un VPN protège le trajet de votre trafic ; ce programme lit le message sur votre propre écran, avant même qu'il soit envoyé. Le chiffrement de bout en bout est logé à la même enseigne. Fermer l'application ne change rien non plus : l'espion s'inscrit pour démarrer après un redémarrage, à l'allumage de l'écran, au changement de réseau et à l'arrivée d'un SMS.
Si vous l'avez déjà installé
- Activez le mode avion. Le programme prend ses ordres sur un serveur de commande, couper le réseau met fin à la conversation.
- Démarrez en mode sans échec : maintenez le bouton d'alimentation, puis appuyez longuement sur "Éteindre" jusqu'à ce que le téléphone propose le mode sans échec. Les applications tierces n'y tournent pas, ce qui rend la suppression possible.
- Retirez d'abord les droits d'administrateur dans Paramètres, Sécurité, Applications d'administration, puis désinstallez l'application. Si elle refuse de disparaître, la réinitialisation d'usine est la réponse fiable.
- Depuis un autre appareil, changez les mots de passe de votre messagerie, de votre banque et de vos applications de discussion. Dans Telegram, ouvrez Paramètres, Appareils et fermez toutes les autres sessions ; dans WhatsApp, vérifiez les appareils liés et déconnectez l'inconnu.
- Surveillez vos relevés bancaires, en particulier les petits prélèvements de test, et considérez tout code de carte ou mot de passe bancaire tapé sur ce téléphone comme connu d'un tiers.
Qui était visé
Positive Technologies a rencontré cette famille au printemps, en enquêtant sur des attaques visant des utilisateurs en Arabie saoudite, puis a retrouvé le même code chez des personnes en Russie, en Chine, en Corée et dans l'ensemble du Moyen-Orient et de l'Afrique du Nord. Les échantillons collectés couvrent la période du 6 mars au 6 mai 2026 et contiennent deux versions du programme, 9.3 et 9.4. Les données volées partaient chiffrées vers un serveur de commande hébergé en Russie.
Une campagne qui parle 34 langues ne vise pas une personne, elle vise celui qui cliquera. C'est la lecture utile de cette histoire : personne ne vous a choisi, on a choisi le moment où une page a affirmé que votre navigateur était obsolète et où vous l'avez crue.
