Fraude Trapdoor sur Android :
455 applications du Play Store et plus de 24 millions de téléchargements.

Trapdoor n’est pas le nom d’un virus unique distribué sous 455 noms différents. HUMAN Security décrit une infrastructure plus complexe, associant des applications Android, des campagnes de publicité malveillante, des outils d’attribution marketing détournés et des domaines HTML5 utilisés pour générer et monétiser du trafic publicitaire artificiel.

Le chiffre de 455 applications est confirmé par l’enquête de l’équipe Satori Threat Intelligence and Research de HUMAN. Les chercheurs ont également identifié 183 domaines contrôlés par les opérateurs. L’ensemble formait une chaîne dans laquelle chaque étape pouvait alimenter la suivante : une application installée depuis le Play Store exposait l’utilisateur à une publicité trompeuse, cette publicité poussait vers une autre application, puis certaines installations déclenchaient les mécanismes de fraude publicitaire.

Les applications liées à cette infrastructure ont cumulé plus de 24 millions de téléchargements. Il faut cependant éviter une conclusion trop rapide : 24 millions de téléchargements ne signifie pas que 24 millions de personnes ont toutes subi exactement le même comportement frauduleux. La particularité de Trapdoor était précisément d’activer certains mécanismes en fonction de la manière dont l’application avait été obtenue.

Une correction importante concerne le volume publicitaire. Le communiqué initial de HUMAN publié le 19 mai évoquait 480 millions de requêtes d’enchères publicitaires quotidiennes au pic. Le rapport technique détaillé publié par l’équipe Satori indique désormais 659 millions de requêtes par jour. C’est ce chiffre plus récent et plus précis qui doit être retenu.

Les applications prenaient souvent l’apparence d’outils ordinaires : lecteurs PDF, gestionnaires de fichiers, applications de nettoyage ou utilitaires pour téléphone. Cette banalité était une force. Un utilisateur qui recherche une fonction simple sur le Play Store n’imagine pas nécessairement qu’une application apparemment fonctionnelle puisse servir de première étape à une infrastructure publicitaire frauduleuse.

Cette affaire rappelle que la présence dans une boutique officielle réduit certains risques sans les supprimer. Les mécanismes de contrôle du Play Store évoluent continuellement, tout comme les techniques utilisées pour les contourner. La même logique d’adaptation apparaît dans d’autres menaces suivies par WY-Créations, notamment Storm et les techniques capables de contourner certaines protections d’authentification.

La difficulté ne venait pas seulement du nombre d’applications. Les opérateurs avaient construit un système capable de se comporter différemment selon son environnement. C’est une technique particulièrement efficace contre les contrôles automatisés et les chercheurs qui reproduisent un téléchargement en laboratoire.

Le détournement de l’attribution publicitaire jouait ici un rôle déterminant. Si l’application détectait qu’elle avait été installée directement et non à la suite de la campagne voulue par les opérateurs, elle pouvait éviter d’activer les fonctions qui auraient immédiatement révélé la fraude. Le même fichier APK pouvait donc sembler relativement normal dans un contexte et beaucoup plus problématique dans un autre.

HUMAN a également identifié des mécanismes d’anti-analyse. Les applications vérifiaient notamment certains indices associés aux appareils rootés, au débogage et à l’utilisation d’un VPN. Ces éléments sont fréquents dans les environnements employés par les spécialistes de la sécurité pour observer le comportement d’un logiciel.

Les échantillons analysés utilisaient en outre des techniques d’obfuscation, de chiffrement de chaînes, de virtualisation de code et de protection native. L’objectif n’est pas nécessairement de rendre l’analyse impossible. Il suffit souvent de la ralentir, de multiplier les fausses pistes et de faire en sorte qu’une inspection rapide ne révèle pas la logique complète.

Certains composants imitaient également la structure de SDK publicitaires légitimes. Là encore, le principe est de se fondre dans un environnement Android où les applications embarquent couramment plusieurs bibliothèques de publicité, de mesure d’audience ou d’attribution.

Cette sophistication explique pourquoi un conseil du type « regardez simplement les permissions » est insuffisant. Les permissions restent importantes, mais une application peut détourner des fonctions ordinaires sans réclamer immédiatement une autorisation spectaculaire. La sécurité mobile nécessite donc une combinaison de contrôle de la provenance, de mises à jour, de surveillance du comportement et de réaction aux alertes.

Le problème dépasse Android. Les méthodes d’évasion progressent également sur les comptes et services en ligne. La disparition progressive du SMS comme mécanisme d’authentification privilégié chez certains acteurs, analysée dans le passage de Microsoft vers des méthodes plus résistantes comme les passkeys, illustre cette course permanente entre protections et contournements.

Après le signalement de HUMAN Security, Google a supprimé du Play Store toutes les applications identifiées dans l’enquête. HUMAN indique également que Google Play Protect protège automatiquement contre les applications connues pour adopter les comportements associés à Trapdoor.

Cette information est importante mais elle ne signifie pas que le problème est définitivement clos. Retirer une application de la boutique empêche de nouvelles installations par ce canal. Cela ne doit pas être interprété comme la garantie qu’aucune variante, nouvelle application ou infrastructure similaire ne réapparaîtra.

Le rapport de HUMAN précise d’ailleurs que les opérateurs continuaient à développer et publier de nouveaux lots d’applications et de domaines pendant l’enquête. Les équipes Satori annonçaient poursuivre la surveillance de l’infrastructure et de ses adaptations. Au 9 septembre 2026, aucune information publique consultée ne permet d’affirmer qu’une nouvelle vague identique de 455 applications serait actuellement disponible sur Google Play.

Play Protect constitue donc une couche utile, pas une autorisation de cliquer sans réfléchir. Android peut analyser des applications, identifier certains comportements connus et bloquer des logiciels signalés, mais les fraudeurs cherchent précisément des combinaisons nouvelles qui ne correspondent pas encore aux signatures et scénarios déjà détectés.

Il faut également distinguer la sécurité de la boutique de celle de la publicité affichée dans une application. Une application peut avoir été obtenue dans un environnement officiel puis afficher un message qui pousse l’utilisateur vers un parcours externe ou vers une autre installation. La confiance accordée à la première étape ne doit pas être automatiquement transférée à la suivante.

Cette évolution permanente explique pourquoi la protection numérique ne peut pas dépendre d’un seul outil. Les usages changent aussi vite que les menaces, qu’il s’agisse d’Android, des messageries ou des systèmes de connexion. Pour les utilisateurs qui souhaitent réduire leur dépendance aux services dominants, WY-Créations a également comparé plusieurs messageries européennes alternatives à WhatsApp, Google Messages et Apple Messages.

Trapdoor est surtout intéressant parce qu’il montre comment plusieurs briques légitimes peuvent être retournées contre l’écosystème qui les utilise. Les outils d’attribution servent normalement à mesurer l’efficacité d’une campagne. Les WebViews permettent d’intégrer du contenu web dans une application. Les plateformes publicitaires financent une grande partie des services gratuits. Aucune de ces technologies n’est frauduleuse par définition.

Les opérateurs ont cependant combiné ces briques pour sélectionner leurs cibles, masquer leur comportement et transformer des appareils en générateurs de trafic artificiel. Cette approche complique les contrôles traditionnels : analyser isolément l’application, la publicité ou le domaine ne révèle pas nécessairement l’ensemble du système.

HUMAN rapproche d’ailleurs Trapdoor d’autres opérations telles que SlopAds, Low5 et BADBOX 2.0, qui ont également utilisé des domaines HTML5 comme couche de monétisation. La réutilisation de techniques et d’infrastructures montre que la fraude publicitaire mobile ne repose plus seulement sur quelques applications opportunistes. Elle peut prendre la forme d’un véritable modèle industriel.

Pour les annonceurs, le problème est direct. Une partie des budgets peut financer des impressions, requêtes ou interactions qui ne correspondent pas à une audience réelle. Pour les plateformes, ce trafic pollue les mesures de performance. Pour les utilisateurs, le téléphone devient à son insu un élément d’une infrastructure économique frauduleuse.

Cette pollution des données est également un sujet pour le marketing. Si des outils d’attribution peuvent être utilisés comme mécanisme d’évasion, les indicateurs qui servent à décider où investir doivent être analysés avec davantage de prudence. Une hausse du trafic ou des interactions ne signifie pas automatiquement une hausse équivalente de l’intérêt humain.

La frontière entre cybersécurité, publicité et données personnelles devient ainsi de plus en plus fine. Les systèmes publicitaires savent énormément de choses sur les parcours et comportements. Une étude distincte analysée par WY-Créations montre même comment une intelligence artificielle peut déduire des caractéristiques d’une personne à partir des publicités qu’elle a vues. La donnée publicitaire est devenue à la fois un actif économique, un outil de mesure et une surface d’attaque.

Les entreprises doivent donc intégrer la fraude dans leur lecture des performances numériques. La sécurité n’est plus uniquement le sujet du service informatique ; elle concerne aussi l’acquisition, la publicité, l’analytics et la qualité des données utilisées pour décider. Cette dimension est particulièrement visible lorsque des outils de surveillance ou de mesure transmettent des informations à de grandes plateformes, sujet approfondi dans l’analyse des outils de surveillance professionnelle et de leurs flux de données.

Trapdoor ne prouve pas que le Play Store serait globalement dangereux. Il démontre quelque chose de plus utile : une boutique officielle, une publicité connue et un outil marketing légitime peuvent être intégrés dans un parcours frauduleux. La sécurité repose donc moins sur un label de confiance unique que sur la capacité à examiner chaque changement de contexte.