GhostMap : une appli Android façonnée peut faire planter un téléphone avant qu’on l’ouvre

Installer une appli, et rien de plus, peut laisser un téléphone Android bloqué sur l’animation de démarrage. Bitdefender Labs a publié cette constatation le 5 novembre 2026, sous le nom GhostMap (en anglais). L’appli de leur démonstration ne demande aucune permission et ne contient aucun code exécutable. Il n’est pas nécessaire de l’ouvrir. Google a dit à Bitdefender qu’il ne corrigera pas cela par une mise à jour de sécurité. Bitdefender n’a vu personne utiliser la boucle de plantage contre un vrai téléphone.

Ce qu’ils ont démontré

L’enquête a commencé le 12 août 2026, lorsqu’un déposeur bancaire recueilli dans la nature a fait planter les émulateurs d’analyse de Bitdefender pendant l’installation. Le fichier avait été réécrit par un emballeur, un outil que les logiciels malveillants Android utilisent souvent pour rendre une appli plus difficile à inspecter. Cette réécriture a aussi cassé la partie d’Android qui lit une appli au moment de l’installation. Bitdefender dit que rien dans l’échantillon ne suggère que l’auteur voulait faire planter quoi que ce soit. L’échantillon ne s’est jamais exécuté. L’installation a simplement échoué.

En cherchant pourquoi, l’équipe a trouvé un bogue dans Android lui-même. Une APK est une archive ZIP. Deux bibliothèques d’Android ne s’entendent pas sur une entrée inhabituelle de cette archive : l’une ne vérifie une taille déclarée que pour la méthode normale « stored », et l’autre traite tout ce qui n’est pas « deflated » comme s’il était stocké tel quel, et projette le fichier comme s’il avait cette taille déclarée. Le noyau permet une projection plus grande que le fichier. La première lecture au-delà de la vraie fin du fichier tue le processus. La capture de Bitdefender sur un Pixel 10 montrait une APK de 8 408 octets projetée sur environ 16 mégaoctets. La faute est un plantage, pas un moyen d’exécuter le code de l’attaquant, de lire des données ou d’obtenir des permissions.

L’endroit où le plantage tombe dépend du fichier malformé dans l’appli :

• Un manifeste défectueux fait planter l’installateur. C’est tout ce que l’échantillon bancaire d’origine a fait. Rien n’est resté sur le téléphone.
• Une ressource défectueuse qu’un service central lit après l’installation fait planter system_server, le processus qui fait tourner la plus grande partie d’Android. Android le relance, le service relit le même fichier, et il plante encore. Dans une capture, le cycle s’est répété 110 fois, à quelques secondes d’intervalle, avec l’animation de démarrage encore à l’écran. De l’installation au premier plantage, il s’est écoulé environ une seconde.
• Tout autre processus qui lit l’APK, y compris une appli de sécurité qui l’analyse, peut être celui qui meurt.

Redémarrer n’efface pas le problème. Le mode sans échec non plus : Bitdefender a enregistré 72 cycles de plantage dans un essai en mode sans échec, et le plantage survenait après que l’indicateur du mode sans échec était posé, mais avant qu’il prenne effet. Un ordinateur peut parfois supprimer le fichier par le débogage USB dans les intervalles entre les plantages, mais seulement si le mode développeur était déjà activé, et seulement avant le premier redémarrage complet. Après cela, le plantage arrive trop tôt. La reprise que Bitdefender décrit pour un utilisateur ordinaire est une réinitialisation d’usine, qui efface les données stockées sur le téléphone.

Ils l’ont reproduit sur un Pixel 10 sous Android 17 avec le correctif de sécurité du 5 août 2026 (version google/frankel/frankel:17/CP2A.260805.005/15828068), et sur des versions jusqu’à Android 10.

Ce que Google a dit

Bitdefender a signalé le bogue deux fois par le programme de vulnérabilités Android de Google.

• 20 août 2026 : le premier signalement, sur les plantages à l’installation et les plantages dans les applis qui analysent le fichier. Google l’a fermé comme « Won’t Fix (Not Reproducible) » et l’a décrit comme hors du champ du programme.
• 25 août 2026 : un second signalement, avec une démonstration fonctionnelle de la boucle persistante, une preuve de concept, et le fait que l’appli n’a besoin d’aucune permission ni d’aucun code. Google a dit que le problème était hors du champ d’une mise à jour de sécurité, et qu’il avait transmis la constatation à une équipe produit pour une éventuelle inclusion dans une version future.

Bitdefender note que Google a corrigé en 2016 un cousin plus faible de ce bogue, CVE-2016-6724, coté modéré, où une appli locale pouvait forcer des redémarrages continuels et où une réinitialisation d’usine était le remède. Bitdefender dit ne pas avoir de CVE pour GhostMap, parce que le signalement n’a pas été accepté comme vulnérabilité. À la fin d’octobre, l’équipe a dit à Google qu’elle publierait le 5 novembre, et Google a accepté. Il n’y a pas de correctif au moment de cette publication.

Bitdefender est explicite sur la limite. La boucle persistante est leur propre démonstration. Ils ne l’ont pas vue utilisée contre quelqu’un. Les usages théoriques qu’ils décrivent (un téléphone qui ne démarre pas, une appli dont l’icône fait planter les écrans qui serviraient à la désinstaller, un analyseur qui meurt en inspectant le fichier, une malformation ajoutée plus tard dans une mise à jour) sont illustrés pour que les défenseurs comprennent le bogue. Ce ne sont pas des incidents. Le bogue n’exécute pas de code.

Le déposeur bancaire qui a lancé le travail est un problème distinct du plantage. Ce genre de logiciel malveillant, y compris les chevaux de Troie qui abusent de la permission Accessibilité, est traité dans notre note sur deux chevaux de Troie bancaires Android. GhostMap n’est pas cela.

Ce que vous pouvez faire

1. Installez les applis depuis la boutique que vous utilisez déjà, pas depuis un fichier qu’on vous a envoyé. Le plantage exige une APK façonnée. Une pièce jointe au hasard ou une « mise à jour » venue d’un texto est le mode de livraison qui compte. Play Protect et l’examen d’une boutique ne sont pas une garantie, mais l’installation hors boutique les contourne.
2. Gardez une sauvegarde qui n’est pas seulement sur le téléphone. Si une réinitialisation d’usine est la sortie, les photos et les fichiers qui n’existent que sur l’appareil disparaissent. Le bogue ne les vole pas. La réinitialisation les efface.
3. Si un téléphone que vous possédez boucle déjà, une réinitialisation est la reprise que Bitdefender a trouvée pour les gens qui n’avaient pas déjà le débogage USB activé. Activer les options de développement après le début de la boucle n’aide pas.
4. Ne payez personne qui offre de « déverrouiller » un téléphone en boucle de démarrage par un accès à distance. Bitdefender n’a pas vu cela utilisé pour de l’extorsion. Un inconnu qui demande un partage d’écran, c’est une autre arnaque.

Bitdefender Mobile Security détecte la malformation sous le nom Android.Riskware.Ghostmap.rA dans les essais de l’entreprise. Android ne laisse pas une appli tierce bloquer une installation ou retirer une autre appli toute seule, donc un avertissement a encore besoin d’une personne pour agir, et la fenêtre peut durer environ une seconde.

Comment Frame peut aider

C’est un bogue du système d’exploitation du téléphone, pas une fuite de compte. Frame ne peut pas corriger Android et ne voit pas le fichier qui causerait la boucle. Les mesures ci-dessus sont celles qui s’appliquent.

À lire aussi

• Deux nouveaux chevaux de Troie bancaires Android, un même signal d’alarme : la permission Accessibilité : le genre de logiciel malveillant dans l’échantillon qui a mené Bitdefender à ce bogue. Cet échantillon plantait à l’installation. Ce n’est pas la boucle de plantage.

Sources

• Bitdefender Labs, GhostMap: The Android flaw that crashes your phone before you open the app (en anglais), 5 novembre 2026
• Help Net Security, A banking malware sample led researchers to an Android bug that can loop-crash phones (en anglais), 5 novembre 2026