Smartphone Android pas cher : et si le pirate était livré avec la boîte ?

On se méfie des liens douteux, des pièces jointes suspectes, des applis téléchargées hors du Play Store. Logique. Mais que faire quand la menace est déjà là, tapie dans le téléphone, avant même que vous ayez retiré le film plastique de l’écran ? C’est exactement le scénario que décrivent les chercheurs de Bitdefender avec Midnight Mimosa, un malware préinstallé Android découvert sur des modèles d’entrée de gamme vendus un peu partout dans le monde, France comprise.

Le problème n’est pas seulement technique. Il touche à quelque chose de très concret : la confiance qu’on accorde à un objet neuf.

Ce que Midnight Mimosa fait vraiment sur votre téléphone

Une fausse appli système, invisible à l’œil nu

Le logiciel se présente sous un nom parfaitement anodin, com.android.system.lite. Pas d’icône. Rien dans le tiroir d’applications. Pour Android, c’est un composant du système comme un autre, signé avec un certificat d’usine. Il bénéficie donc de privilèges qu’aucune appli classique n’obtiendrait jamais.

Et il s’en sert. Il installe d’autres programmes, en désinstalle, s’octroie des autorisations sensibles et va chercher du code à distance. Autrement dit : votre téléphone peut changer de comportement du jour au lendemain, sur ordre d’un serveur que vous ne connaissez pas.

Votre box Internet transformée en relais

Le premier objectif des opérateurs semble financier. Les applis cachées affichent des publicités que personne ne voit et simulent des clics. Ce qui veut dire, pour vous, une batterie qui fond et un forfait data qui se vide sans raison apparente.

Plus gênant encore : l’appareil peut servir de point de passage pour du trafic tiers. Votre connexion Wi-Fi domestique devient alors une sorte de proxy loué à des inconnus, utilisé pour masquer l’origine d’activités louches, voire participer à des attaques par déni de service. Si quelque chose de répréhensible transite par là, c’est votre adresse IP qui apparaît. Pas la leur.

Et vos données personnelles ?

Bitdefender indique que le malware collecte déjà des informations sur l’appareil et les applis installées. Il dispose aussi de mécanismes lui permettant, en théorie, d’accéder aux notifications ou aux SMS. Les chercheurs n’ont pas observé ce passage à l’acte. Mais « pas encore observé » n’a jamais été une garantie. Les SMS, ce sont aussi vos codes de validation bancaire…

Pourquoi réinitialiser son téléphone ne sert à rien

Réflexe classique face à un téléphone suspect : la remise à zéro. Ici, peine perdue. Le code malveillant est logé dans la partition système, celle qui n’est jamais effacée lors d’une réinitialisation d’usine. Le téléphone revient « comme neuf »… c’est-à-dire avec le malware, puisqu’il était là dès le départ.

Google Play Protect, le garde-fou intégré à Android, ne le repère pas non plus : il surveille surtout ce que vous installez après la configuration. Midnight Mimosa va même jusqu’à désactiver temporairement le Play Store, histoire que ses propres installations passent sous le radar.

Comment vérifier si votre appareil est concerné

Bonne nouvelle : quelques minutes suffisent pour lever une bonne partie du doute. Voici la marche à suivre, de la plus simple à la plus poussée.

Regardez d’abord le profil de votre téléphone

Les appareils visés sont des Android d’entrée de gamme, souvent de marques peu connues ou vendues sous marque blanche, équipés d’une puce MediaTek. Pour connaître votre processeur, rendez-vous dans Paramètres > À propos du téléphone (la ligne s’appelle parfois « Processeur » ou « Chipset »). Un Samsung Galaxy S ou un Pixel acheté chez un revendeur officiel ? Le risque est très faible. Un modèle à 80 € commandé sur une marketplace ? Ça vaut le coup de creuser.

Vérifiez la certification Play Protect

Ouvrez le Play Store, touchez votre photo de profil, puis Paramètres > À propos. Tout en bas figure la ligne « Certification Play Protect ». Si elle indique « Appareil non certifié », c’est un signal d’alerte sérieux : le firmware n’a pas été validé par Google. Attention, une certification affichée ne prouve pas l’absence de malware, mais un appareil non certifié mérite clairement plus de méfiance.

Cherchez l’application fantôme

Allez dans Paramètres > Applications, ouvrez le menu (les trois points en haut à droite) et activez « Afficher les applications système ». Faites défiler la liste à la recherche d’un élément nommé « system.lite » ou de toute application système sans nom clair. Sur certains modèles, le nom technique du paquet apparaît en ouvrant la fiche de l’appli.

Pour les plus à l’aise, la méthode la plus fiable passe par un ordinateur et l’outil ADB : une fois le débogage USB activé, la commande adb shell pm list packages | grep system.lite vous dira en une seconde si le composant est présent.

Repérez les symptômes

Quelques indices doivent mettre la puce à l’oreille : une batterie qui chute même quand le téléphone dort, une consommation de données anormale dans Paramètres > Réseau, des applis inconnues qui apparaissent puis disparaissent, ou un Play Store qui devient brièvement introuvable. Un seul signe ne prouve rien. Plusieurs à la fois, si.

Pas une première : les « malwares d’usine » se multiplient

Midnight Mimosa n’arrive pas de nulle part. En 2025, la société HUMAN Security avait dévoilé BadBox 2.0, un réseau de plus d’un million d’appareils Android bon marché (box TV, tablettes, projecteurs) infectés avant leur vente. Le FBI avait publié une alerte, et Google avait même porté l’affaire devant la justice américaine. La même année, Kaspersky signalait une variante du cheval de Troie Triada cachée dans le firmware de smartphones contrefaits.

Le point commun ? Une chaîne de fabrication éclatée entre fabricants de puces, intégrateurs de firmware, sous-traitants et distributeurs. Chaque maillon est une porte d’entrée possible. Dans le cas de Midnight Mimosa, Bitdefender a bien relevé des certificats liés à une entreprise, sans pouvoir établir qu’elle a elle-même glissé le code ou qu’elle était au courant. Résultat : on ne sait toujours pas précisément qui tire les ficelles. C’est franchement inquiétant pour un marché où l’acheteur n’a aucun moyen de contrôler ce qui s’est passé en usine.

Votre téléphone est touché : que faire ?

Soyons honnêtes : il n’existe pas de solution miracle pour l’utilisateur lambda. Le composant ne se désinstalle pas normalement. Quelques réflexes permettent toutefois de limiter les dégâts.

D’abord, sortez l’appareil de votre réseau Wi-Fi principal, ou mieux, créez un réseau « invité » sur votre box pour l’isoler de vos autres équipements. Ensuite, évitez d’y conserver vos applis bancaires et ne l’utilisez pas pour recevoir vos codes de double authentification. Contactez le vendeur : un produit vendu avec un logiciel malveillant intégré relève du défaut de conformité, et la garantie légale peut jouer. Enfin, cherchez une éventuelle mise à jour du fabricant, même si, sur ce segment de prix, elles arrivent rarement.

Si vous avez un doute sur une fraude ou une utilisation de vos données, le dispositif public Cybermalveillance.gouv.fr propose un diagnostic en ligne et oriente vers des professionnels référencés près de chez vous.

Et pour le prochain achat ? Privilégier les marques identifiées, les revendeurs officiels, et se méfier des prix trop beaux pour être vrais. Un téléphone à 60 €, c’est tentant. Mais quand l’économie se paie avec votre connexion et vos données, l’addition finit toujours par arriver.

FAQ