Installer une application spécialement conçue peut suffire à bloquer un téléphone Android, sans jamais l’ouvrir ni lui accorder d’autorisation. Dans ses recherches publiées , Bitdefender décrit GhostMap, un défaut provoquant des plantages répétés du système. Une réinitialisation d’usine, qui efface les données locales, peut être nécessaire pour retrouver un appareil utilisable.
Android plante en lisant les fichiers de l’application
Le problème concerne la lecture des APK, les fichiers utilisés pour installer les applications Android. Selon Bitdefender, certaines informations de compression et de taille sont mal traitées par le système. La lecture d’une ressource spécialement modifiée peut alors provoquer le plantage du processus qui la consulte.
Dans la démonstration des chercheurs, l’installation aboutit. C’est ensuite un service système qui rencontre le fichier problématique. Il plante, redémarre, puis relit ce même fichier. Le téléphone reste ainsi bloqué dans une boucle, sans permettre d’accéder normalement à son interface. L’application de démonstration ne contient aucun code exécutable et ne demande aucune permission.
Bitdefender a reproduit le blocage sur un Pixel 10 sous Android 17, équipé du correctif de sécurité du 5 août 2026. Le laboratoire indique également avoir retrouvé le défaut sur des versions remontant à Android 10. Interrogé par Help Net Security, il précise toutefois ne pas avoir effectué de tests sur les téléphones d’autres fabricants.
L’enquête a commencé le 12 août, après la découverte d’un fichier malveillant qui faisait planter l’installation dans les outils d’analyse du laboratoire. Les chercheurs ont ensuite développé la version capable de bloquer durablement le système. Bitdefender n’a pas observé l’utilisation de cette boucle persistante contre des utilisateurs.
Le menu de récupération d’Android sur un Redmi A5. Photographie d’illustration, sans lien avec les essais de GhostMap
Un signalement transmis à Google en août
Le laboratoire rapporte avoir contacté Google les 20 et 25 août. Le premier signalement a été clôturé avec un statut indiquant que le problème n’avait pas été reproduit. Après l’envoi d’une démonstration plus complète, Google aurait considéré que le défaut ne relevait pas d’un correctif de sécurité et l’aurait transmis à une autre équipe pour un éventuel traitement dans une future version.
La documentation Android classe les dénis de service locaux persistants nécessitant une réinitialisation d’usine ou une réinstallation complète du système parmi les conséquences de gravité élevée. Elle prévoit aussi des ajustements selon les conditions d’exploitation. Ces critères généraux ne valent donc pas classification officielle de GhostMap.
Une récupération possible sous certaines conditions
Dans les essais présentés, ni le redémarrage ni le mode sans échec n’ont supprimé la boucle. Bitdefender décrit néanmoins une possibilité de récupération avec ADB, un outil permettant de communiquer avec Android depuis un ordinateur. Le débogage USB doit avoir été activé avant le blocage et le fichier doit pouvoir être supprimé entre deux plantages. Selon les chercheurs, cette possibilité disparaît après un redémarrage complet du téléphone.
Lorsque cette intervention n’est pas possible, une réinitialisation d’usine peut être nécessaire. Elle efface les données conservées sur l’appareil. Bitdefender recommande notamment de se méfier des APK reçus par message, proposés dans une publicité ou téléchargés depuis un site inconnu, dans le cadre des installations hors boutique.
Pour les sauvegardes, Google permet de consulter les éléments enregistrés dans les paramètres du téléphone, sous « Détails de la sauvegarde ». L’entreprise précise que certaines applications ne sauvegardent pas l’intégralité de leurs données et que les photos et vidéos peuvent nécessiter une sauvegarde dans Google Photos.La sauvegarde Google One peut prendre jusqu’à 24 heures.
