Kaspersky a détecté Keenadu, un nouveau malware, qui cible les appareils Android. Ce malware se propage sous plusieurs formes : il peut être préinstallé directement dans le firmware des appareils, intégré à des applications système, ou même téléchargé depuis des app stores officiels tels que Google Play. Actuellement, il est utilisé dans le cadre de fraudes publicitaires, les attaquants utilisant les appareils infectés comme des bots pour générer des clics sur des publicités, mais il peut même permettre, dans certains cas, de prendre le contrôle total de l’appareil de la victime.
Tribune – En février 2026, Kaspersky Mobile Security Solutions a détecté plus de 13 000 appareils infectés par Keenadu. Le plus grand nombre d’utilisateurs ciblés a été observé en Russie, au Japon, en Allemagne, au Brésil et aux Pays-Bas, bien que d’autres pays aient également été touchés.
Une menace intégrée au firmware du terminal…
Tout comme la backdoor Triada détectée par Kaspersky en 2025, certaines versions de Keenadu sont intégrées au firmware de plusieurs modèles de tablettes Android lors de l’une des étapes de la chaîne d’approvisionnement. Dans cette variante, Keenadu est une porte dérobée pleinement fonctionnelle qui offre aux attaquants un contrôle illimité sur l’appareil de la victime. Il peut infecter n’importe quelle application installée, installer d’autres applications à partir de fichiers APK et leur octroyer toutes les autorisations disponibles. Par conséquent, l’intégralité des informations présentes sur l’appareil, tel que les fichiers multimédias, les messages, les identifiants bancaires ou la localisation, peuvent être compromises. Le malware surveille même les recherches effectuées par l’utilisateur sur le navigateur Chrome en mode navigation privée.
Lorsqu’il est intégré au firmware, le malware peut adapter son comportement selon plusieurs facteurs. Il ne s’activera pas si la langue configurée sur l’appareil est l’un des dialectes chinois, ou si l’heure est réglée sur l’un des fuseaux horaires de la Chine. De même, il ne se lancera pas si l’appareil ne dispose pas du Google Play Store et des services Google Play installés.
…mais aussi au sein des applications système…
Au sein de cette variante, les fonctionnalités de Keenadu sont restreintes : il ne peut pas infecter toutes les applications de l’appareil. Cependant, comme il se trouve au sein d’une application système qui bénéficie de privilèges par rapport aux applications classiques, il peut tout de même installer n’importe quelle application tierce choisie par les attaquants, à l’insu de l’utilisateur. Plus inquiétant encore, Kaspersky a découvert Keenadu dissimulé dans une application système chargée du déverrouillage de l’appareil par reconnaissance faciale. Les attaquants pourraient ainsi potentiellement s’emparer des données biométriques de la victime. Dans certains cas, Keenadu a même été intégré à l’application responsable de l’interface de l’écran d’accueil (launcher).
…et embarqué dans des apps provenant de l’app store Android
Les experts Kaspersky ont également découvert que plusieurs applications présentes sur le Google Play Store sont infectées par Keenadu. Il s’agit d’applications dédiées aux caméras de surveillance intelligentes, déjà téléchargées plus de 300 000 fois. À l’heure actuelle, ces applications ont déjà été retirées du Google Play Store. Une fois lancées, elles permettent aux attaquants d’ouvrir des onglets de navigation invisibles en arrière-plan, utilisés pour parcourir différents sites web à l’insu de l’utilisateur. Des recherches antérieures menées par d’autres experts ont également révélé que des applications semblables qui avaient été infectées étaient distribuées via des fichiers APK autonomes ou sur d’autres app stores.
« Comme le montrent nos dernières recherches, les malwares préinstallés constituent un problème de taille sur de nombreux appareils Android. Sans aucune action de la part de l’utilisateur, un appareil peut être infecté dès sa première utilisation. Il est crucial que les utilisateurs prennent conscience de ce risque et utilisent des solutions de sécurité capables de détecter ce type de malwares. Les constructeurs n’étaient probablement pas informés de la compromission de la chaîne d’approvisionnement ayant permis à Keenadu d’infiltrer les appareils, car le malware imitait des composants système légitimes. Il est donc primordial de contrôler chaque étape du processus de production afin de garantir que le firmware des appareils n’est pas infecté », commente Dmitry Kalinin, Security Researcher chez Kaspersky.
Dans ce contexte, les équipes de Kaspersky recommande :
-
D’utiliser une solution de sécurité fiable afin d’être averti rapidement de menaces similaires sur votre appareil.
-
Si vous utilisez un appareil dont le firmware est infecté, vérifiez la disponibilité de mises à jour système. Après avoir effectué la mise à jour, lancez une analyse complète de l’appareil à l’aide d’une solution de sécurité.
-
Si une application système est infectée, nous recommandons aux utilisateurs de cesser de l’utiliser, puis de la désactiver. Si le launcher est touché, nous conseillons de désactiver le launcher par défaut et d’utiliser un launcher tiers.
