Une application malveillante peut forcer un appareil Android à entrer dans une boucle de redémarrage persistante simplement en étant installée, sans demander d'autorisations ni être ouverte, selon des chercheurs de Bitdefender, comme le rapporte BleepingComputer le 5 novembre. Pour récupérer l'appareil après la faille, baptisée GhostMap, il peut être nécessaire de procéder à une réinitialisation d'usine, qui efface les données stockées localement, sauf si l'accès au débogage était déjà activé.
Bitdefender a démontré le problème sur un Pixel 10 fonctionnant sous Android 17, avec le correctif de sécurité du 5 août. Son application de démonstration ne contenait aucun code exécutable et ne nécessitait aucune interaction de l'utilisateur après l'installation. Les chercheurs ont découvert la faille en analysant un cheval de Troie bancaire Android qui faisait planter à répétition leurs émulateurs lors de la lecture d'une ressource de l'application.
Bitdefender affirme avoir signalé GhostMap à Google en août, mais Google a classé le problème comme non reproductible et n'a publié aucun correctif. L'exploitation décrite dans le rapport correspond à la démonstration de Bitdefender, et non à une campagne d'attaque documentée.
Comment l'installation déclenche les plantages
GhostMap découle du fait que deux bibliothèques Android interprètent différemment les méthodes de compression ZIP. Un APK malformé, c'est-à-dire un paquet d'application Android, peut exploiter ce désaccord pour contourner les contrôles de taille, amenant Android à mapper en mémoire un fichier au-delà de son contenu réel.
Lorsqu'un processus lit la zone invalide, il reçoit un SIGBUS, un signal qui arrête un processus tentant un accès mémoire invalide. Tout processus accédant au fichier concerné peut planter, selon les chercheurs.
Pour sa démonstration, Bitdefender a inclus une ressource que le service système principal system_server lit automatiquement après l'installation. Sa lecture fait planter le service. Lorsque celui-ci redémarre, il lit de nouveau la même ressource et plante à nouveau, créant la boucle persistante.
Sur le Pixel de test, les plantages ont commencé environ une seconde après l'installation. Les chercheurs ont enregistré 110 répétitions en mode de démarrage normal et 72 en mode sans échec. Bitdefender avertit que la boucle empêche également les utilisateurs d'accéder au mode sans échec, qui sert normalement au dépannage et à la récupération.
La réponse de Google et les options de récupération
Bitdefender a signalé le problème à Google pour la première fois le 20 août et a reçu une réponse « Won't Fix (Not Reproducible) », qui le considérait hors du périmètre. Estimant que Google avait mal classé le signalement, les chercheurs ont soumis une version élargie le 25 août.
Google considérait toujours le problème comme hors du champ d'une mise à jour de sécurité, bien qu'il l'ait réservé à un examen pour une future mise à jour, selon Bitdefender. BleepingComputer avait demandé à Google où en était le correctif et attendait une réponse au moment de la publication de son article.
Selon Bitdefender, c'est pendant l'installation que l'attaque peut être stoppée. Les outils de sécurité tiers peuvent détecter la menace et afficher un avertissement, mais n'ont pas l'autorisation de bloquer l'installation.
Pour les utilisateurs dont l'appareil est déjà pris dans la boucle, les options de récupération signalées sont une réinitialisation d'usine ou la suppression du fichier malformé via Android Debug Bridge (ADB), un outil de débogage. La récupération par ADB exige que le débogage ait été activé au préalable, et les scripts de suppression doivent agir avant que le système ne plante à nouveau. Une réinitialisation d'usine efface toutes les données stockées localement.
