--- id: CP-093 slug: sideloading-applications-hors-magasins lang: fr title: Le sideloading sur mobile description: Une application installée hors des magasins officiels peut voler mots de passe et SMS. Ce que voit le salarié, comment ça marche, quoi faire. canonical_url: https://startbrain.io/cyberpedia/fr/articles/sideloading-applications-hors-magasins/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/sideloading-applications-hors-magasins.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Le sideloading sur mobile », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/sideloading-applications-hors-magasins/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-071 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/sideloading-applications-hors-magasins/ en: https://startbrain.io/cyberpedia/en/articles/mobile-app-sideloading/ de: https://startbrain.io/cyberpedia/de/articles/sideloading-apps-ausserhalb-der-stores/ es: https://startbrain.io/cyberpedia/es/articles/sideloading-aplicaciones-fuera-de-las-tiendas/ sources: - "n": 1 title: Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1444/ accessed: "2026-11-03" - "n": 2 title: Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1475/ accessed: "2026-11-03" - "n": 3 title: Cerberus, Software S0480 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0480/ accessed: "2026-11-03" - "n": 4 title: "Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1417/002/ accessed: "2026-11-03" - "n": 5 title: Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1626/ accessed: "2026-11-03" - "n": 6 title: Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1628/ accessed: "2026-11-03" - "n": 7 title: Input Capture, Technique T1417 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1417/ accessed: "2026-11-03" - "n": 8 title: Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1404/ accessed: "2026-11-03" - "n": 9 title: BusyGasper, Software S0655 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0655/ accessed: "2026-11-03" - "n": 10 title: Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1409/ accessed: "2026-11-03" --- # Le sideloading sur mobile Sur un téléphone professionnel ou personnel, les applications viennent normalement d'un magasin officiel, comme Google Play ou l'App Store. Dans cette fiche, le sideloading désigne l'installation d'une application par une autre voie que ce magasin. Les mobiles étant souvent configurés pour n'accepter que le magasin autorisé [2], l'attaquant doit convaincre la victime de sortir de ce cadre. MITRE décrit la méthode : distribuer un logiciel malveillant en le faisant passer pour une application légitime [1]. Cette fiche suit le point de vue du salarié. Les sources du dossier sont les fiches techniques de MITRE ATT&CK. Elles décrivent les méthodes des attaquants sur Android et iOS, mais ne contiennent pas de statistiques sur le sideloading. ## En 30 secondes - Où ça arrive : sur un site qui demande d'installer un logiciel, comme un faux installateur [3], et sur un appareil auquel l'attaquant accède physiquement [9]. - Ce que veut l'attaquant : faire installer une application piégée, puis lui faire accorder des droits étendus pour voler des identifiants et des données de messagerie [3][4][9]. - Le réflexe : n'installer que depuis le magasin officiel, refuser toute demande d'accessibilité ou d'administrateur d'appareil qu'on n'a pas soi-même cherchée. - Si c'est déjà fait : prévenir le support informatique sans attendre, ne pas saisir de mot de passe sur ce téléphone. ## Questions directes ### Qu'est-ce que le sideloading ? C'est l'installation d'une application sans passer par le magasin autorisé de l'appareil. MITRE note que les mobiles sont souvent configurés pour n'accepter les installations que depuis un magasin autorisé, comme Google Play Store ou Apple App Store [2]. Un attaquant qui ne peut pas y placer son application doit convaincre la victime de la récupérer ailleurs. ### Le magasin officiel protège-t-il complètement ? Pas complètement : MITRE décrit aussi le cas où l'attaquant cherche à placer l'application malveillante dans un magasin autorisé, ce qui permet de l'installer sur les appareils visés [2]. Les deux pages de MITRE sur ce sujet portent un avertissement de dépréciation, mais leur contenu décrit bien ces deux voies [1][2]. ### Comment un salarié est-il amené à installer l'application ? Les sources décrivent deux ruses. La première consiste à faire passer le logiciel pour une application légitime, soit en l'intégrant à une vraie application, soit en imitant son apparence [1]. La seconde passe par un site qui invite à installer un logiciel connu : le cheval de Troie Cerberus a été distribué par des sites qui incitaient l'utilisateur à « install Adobe Flash Player » et téléchargeaient un APK malveillant [3]. ### Quelles autorisations l'application réclame-t-elle ? Les sources citent les droits d'accessibilité et d'administrateur d'appareil. Des applications malveillantes abusent de l'accessibilité d'Android pour savoir quelle application est au premier plan [4]. Pour les droits d'administrateur, MITRE note que les applications ont très rarement besoin des droits d'administrateur et conseille aux développeurs de ne pas recourir à ce niveau d'accès [5]. ### L'application installée reste-t-elle visible ? Pas forcément. MITRE explique que les systèmes mobiles ont des interfaces pour masquer des éléments comme l'icône d'une application, et que des attaquants les détournent [6]. La fiche sur la capture de saisie demande aux utilisateurs de se méfier des permissions dangereuses, comme l'accès à l'accessibilité [7]. D'autres attaquants exploitent des failles du système pour obtenir des droits plus élevés [8]. ### Faut-il un accès physique à l'appareil pour l'infecter ? Dans le cas documenté de BusyGasper, oui : ce logiciel espion a infecté ses victimes par accès physique à l'appareil [9]. ## Dans la peau de l'attaquant L'attaquant a un obstacle : l'appareil est souvent configuré pour n'accepter que le magasin autorisé [2]. Il lui faut un prétexte crédible, et les sources en donnent un : le nom et l'apparence d'une application connue [4]. Dans le cas de Cerberus, c'est un faux installateur d'Adobe Flash Player [3]. Une fois l'application en place, son premier objectif est d'obtenir des droits. Cerberus peut injecter des saisies pour s'accorder des permissions supplémentaires sans interaction de l'utilisateur et pour empêcher la suppression de l'application [3]. Ensuite viennent la collecte et la discrétion : l'attaquant veut lire les SMS, obtenir les contacts et la liste des applications, puis afficher de faux écrans par-dessus les applications désignées par l'attaquant [3]. Les sources décrivent aussi des attaquants qui visent le système lui-même. Certains exploitent des failles du système d'exploitation pour passer d'un niveau d'accès limité à des droits de superutilisateur (root) [8]. MITRE cite Pegasus pour Android, qui tente d'exploiter des failles connues d'Android, et Pegasus pour iOS, qui exploite des failles d'iOS [8]. ## Ce que vous voyez à l'écran La victime voit d'abord la page ou le message qui l'invite à installer un logiciel. Les sources du dossier ne décrivent pas l'avertissement d'installation de l'appareil : cette étape n'est donc pas détaillée ici. Après l'installation, les signes sont rares, par construction. MITRE explique que les systèmes mobiles offrent des interfaces pour masquer des éléments, comme l'icône d'une application, et que ces interfaces ont des usages légitimes que les attaquants détournent [6]. Cerberus cache son icône du tiroir d'applications après son premier lancement [3]. BusyGasper baisse la luminosité de l'écran au minimum et coupe le son quand il est actif [9]. Le signe le plus visible est une fausse invite de saisie. MITRE explique que des applications malveillantes imitent des éléments de l'interface du système pour demander des informations sensibles, et que la petite taille de l'écran d'un mobile gêne la vérification du contexte [4]. Elles peuvent aussi envoyer de fausses notifications qui ouvrent une invite quand on les touche [4]. Enfin, une invite peut apparaître par-dessus une application légitime [4]. ## Sous le capot Les sources décrivent d'abord la superposition et l'accessibilité, puis la persistance. - La superposition : l'application dessine une fenêtre au-dessus d'une autre. Elle doit détenir l'autorisation SYSTEM_ALERT_WINDOW, que MITRE dit accordée automatiquement, au moins dans certaines conditions, aux applications installées depuis Google Play [4]. Android 10 limite le lancement d'une activité au-dessus d'une autre application [4]. Android 12 ajoute l'autorisation HIDE_OVERLAY_WINDOWS, qui permet de masquer ces fenêtres [7]. - L'accessibilité : un détournement permet de savoir quelle application est au premier plan [4]. MITRE signale aussi des applications qui enregistrent les touches ou captent des informations sur les gestes de l'écran [7]. - La persistance : Cerberus désactive Google Play Protect pour éviter d'être découvert et supprimé plus tard [3]. Il peut mettre à jour son code sur commande [3]. MITRE précise par ailleurs que le cloisonnement des applications limite l'accès aux données d'une autre application, sauf dans trois cas : stockage externe non protégé, stockage interne aux permissions peu sûres, ou obtention des droits root [10]. ## Autopsies ### Cerberus, cheval de Troie bancaire loué Cerberus est un cheval de Troie bancaire pour Android dont l'usage se loue sur des forums clandestins [3]. Ses auteurs affirment l'avoir employé deux ans en privé avant la mise en location [3]. Les références de la fiche MITRE comprennent un rapport de ThreatFabric d'août 2019 et un article du 16 août 2019 sur de faux installateurs d'Adobe Flash Player [3]. Le logiciel pouvait lire les SMS, obtenir les contacts et la liste des applications, générer de fausses notifications et lancer des attaques par superposition contre les applications désignées par l'attaquant [3]. ### BusyGasper, logiciel espion (depuis mai 2016) BusyGasper est un logiciel espion Android utilisé depuis mai 2016 [9]. Moins de dix victimes sont connues, toutes apparemment en Russie, et toutes infectées par accès physique à l'appareil [9]. Il peut enregistrer le son, la caméra, copier les photos et l'historique du navigateur, lire des SMS et des données de WhatsApp, Viber et Facebook [9]. La référence de la fiche est un article d'Alexey Firsh du 29 août 2018 [9]. ## Ce que vous faites - Installez uniquement depuis le magasin officiel de l'appareil. Une invitation à télécharger un fichier ou un « installateur » depuis un site est suspecte, y compris pour un logiciel connu [3]. - Refusez les droits d'accessibilité, de clavier ou d'administrateur qu'une application demande sans raison claire. MITRE conseille à l'utilisateur de se méfier des permissions dangereuses ou intrusives, comme l'enregistrement d'un clavier ou l'accès à l'accessibilité [7]. - Gardez votre téléphone verrouillé et sous la main : un cas documenté commence par un accès physique [9]. - Mettez à jour le système : certaines protections, comme les restrictions d'Android 10 et d'Android 12, dépendent de la version [4][7]. - Sur un appareil géré, l'entreprise peut limiter les services d'accessibilité autorisés par une liste explicite, via un outil de gestion des appareils (EMM ou MDM) [7]. ## Les pièges Le magasin officiel n'est pas une garantie complète [2]. Une application malveillante peut aussi cacher son icône, si bien que l'absence d'icône suspecte ne prouve rien [6]. MITRE écrit que ce type de technique ne se contre pas facilement par des contrôles préventifs, puisqu'elle abuse de fonctions du système [6]. Un réglage de sécurité qui change sans votre action est un signal : Cerberus désactive Google Play Protect [3]. Dans ce cas, ou si une application inconnue réclame des droits étendus, contactez le support. ## Sources 1. MITRE ATT&CK, « Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1444/ (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1475/ (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Cerberus, Software S0480 | MITRE ATT&CK® ». https://attack.mitre.org/software/S0480/ (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1417/002/ (consulté le 3 novembre 2026) 5. MITRE ATT&CK, « Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1626/ (consulté le 3 novembre 2026) 6. MITRE ATT&CK, « Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1628/ (consulté le 3 novembre 2026) 7. MITRE ATT&CK, « Input Capture, Technique T1417 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1417/ (consulté le 3 novembre 2026) 8. MITRE ATT&CK, « Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1404/ (consulté le 3 novembre 2026) 9. MITRE ATT&CK, « BusyGasper, Software S0655 | MITRE ATT&CK® ». https://attack.mitre.org/software/S0655/ (consulté le 3 novembre 2026) 10. MITRE ATT&CK, « Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1409/ (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/sideloading-applications-hors-magasins/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.