Cyberpediapar Brain
FRDEEN

Le sideloading sur mobile

Une application installée hors des magasins officiels peut voler mots de passe et SMS. Ce que voit le salarié, comment ça marche, quoi faire.

En 30 secondes

Où ça arrive
Sur un site qui demande d'installer un logiciel, comme un faux installateur3, et sur un appareil auquel l'attaquant accède physiquement9.
Ce que veut l'attaquant
Faire installer une application piégée, puis lui faire accorder des droits étendus pour voler des identifiants et des données de messagerie349.
Le réflexe
N'installer que depuis le magasin officiel, refuser toute demande d'accessibilité ou d'administrateur d'appareil qu'on n'a pas soi-même cherchée.
Si c'est déjà fait
Prévenir le support informatique sans attendre, ne pas saisir de mot de passe sur ce téléphone.

De quoi parle-t-on

Sur un téléphone professionnel ou personnel, les applications viennent normalement d'un magasin officiel, comme Google Play ou l'App Store. Dans cette fiche, le sideloading désigne l'installation d'une application par une autre voie que ce magasin. Les mobiles étant souvent configurés pour n'accepter que le magasin autorisé2, l'attaquant doit convaincre la victime de sortir de ce cadre. MITRE décrit la méthode : distribuer un logiciel malveillant en le faisant passer pour une application légitime1.

Cette fiche suit le point de vue du salarié. Les sources du dossier sont les fiches techniques de MITRE ATT&CK. Elles décrivent les méthodes des attaquants sur Android et iOS, mais ne contiennent pas de statistiques sur le sideloading.

Questions directes

Qu'est-ce que le sideloading ?

C'est l'installation d'une application sans passer par le magasin autorisé de l'appareil. MITRE note que les mobiles sont souvent configurés pour n'accepter les installations que depuis un magasin autorisé, comme Google Play Store ou Apple App Store2. Un attaquant qui ne peut pas y placer son application doit convaincre la victime de la récupérer ailleurs.

Le magasin officiel protège-t-il complètement ?

Pas complètement : MITRE décrit aussi le cas où l'attaquant cherche à placer l'application malveillante dans un magasin autorisé, ce qui permet de l'installer sur les appareils visés2. Les deux pages de MITRE sur ce sujet portent un avertissement de dépréciation, mais leur contenu décrit bien ces deux voies12.

Comment un salarié est-il amené à installer l'application ?

Les sources décrivent deux ruses. La première consiste à faire passer le logiciel pour une application légitime, soit en l'intégrant à une vraie application, soit en imitant son apparence1. La seconde passe par un site qui invite à installer un logiciel connu : le cheval de Troie Cerberus a été distribué par des sites qui incitaient l'utilisateur à « install Adobe Flash Player » et téléchargeaient un APK malveillant3.

Quelles autorisations l'application réclame-t-elle ?

Les sources citent les droits d'accessibilité et d'administrateur d'appareil. Des applications malveillantes abusent de l'accessibilité d'Android pour savoir quelle application est au premier plan4. Pour les droits d'administrateur, MITRE note que les applications ont très rarement besoin des droits d'administrateur et conseille aux développeurs de ne pas recourir à ce niveau d'accès5.

L'application installée reste-t-elle visible ?

Pas forcément. MITRE explique que les systèmes mobiles ont des interfaces pour masquer des éléments comme l'icône d'une application, et que des attaquants les détournent6. La fiche sur la capture de saisie demande aux utilisateurs de se méfier des permissions dangereuses, comme l'accès à l'accessibilité7. D'autres attaquants exploitent des failles du système pour obtenir des droits plus élevés8.

Faut-il un accès physique à l'appareil pour l'infecter ?

Dans le cas documenté de BusyGasper, oui : ce logiciel espion a infecté ses victimes par accès physique à l'appareil9.

1Dans la peau de l'attaquant1 min

L'attaquant a un obstacle : l'appareil est souvent configuré pour n'accepter que le magasin autorisé2. Il lui faut un prétexte crédible, et les sources en donnent un : le nom et l'apparence d'une application connue4. Dans le cas de Cerberus, c'est un faux installateur d'Adobe Flash Player3.

Une fois l'application en place, son premier objectif est d'obtenir des droits. Cerberus peut injecter des saisies pour s'accorder des permissions supplémentaires sans interaction de l'utilisateur et pour empêcher la suppression de l'application3. Ensuite viennent la collecte et la discrétion : l'attaquant veut lire les SMS, obtenir les contacts et la liste des applications, puis afficher de faux écrans par-dessus les applications désignées par l'attaquant3.

Les sources décrivent aussi des attaquants qui visent le système lui-même. Certains exploitent des failles du système d'exploitation pour passer d'un niveau d'accès limité à des droits de superutilisateur (root)8. MITRE cite Pegasus pour Android, qui tente d'exploiter des failles connues d'Android, et Pegasus pour iOS, qui exploite des failles d'iOS8.

2Ce que vous voyez à l'écran1 min

La victime voit d'abord la page ou le message qui l'invite à installer un logiciel. Les sources du dossier ne décrivent pas l'avertissement d'installation de l'appareil : cette étape n'est donc pas détaillée ici.

Après l'installation, les signes sont rares, par construction. MITRE explique que les systèmes mobiles offrent des interfaces pour masquer des éléments, comme l'icône d'une application, et que ces interfaces ont des usages légitimes que les attaquants détournent6. Cerberus cache son icône du tiroir d'applications après son premier lancement3. BusyGasper baisse la luminosité de l'écran au minimum et coupe le son quand il est actif9.

Le signe le plus visible est une fausse invite de saisie. MITRE explique que des applications malveillantes imitent des éléments de l'interface du système pour demander des informations sensibles, et que la petite taille de l'écran d'un mobile gêne la vérification du contexte4. Elles peuvent aussi envoyer de fausses notifications qui ouvrent une invite quand on les touche4. Enfin, une invite peut apparaître par-dessus une application légitime4.

3Sous le capotÉquipes IT1 min

Les sources décrivent d'abord la superposition et l'accessibilité, puis la persistance.

  • La superposition : l'application dessine une fenêtre au-dessus d'une autre. Elle doit détenir l'autorisation SYSTEM_ALERT_WINDOW, que MITRE dit accordée automatiquement, au moins dans certaines conditions, aux applications installées depuis Google Play4. Android 10 limite le lancement d'une activité au-dessus d'une autre application4. Android 12 ajoute l'autorisation HIDE_OVERLAY_WINDOWS, qui permet de masquer ces fenêtres7.
  • L'accessibilité : un détournement permet de savoir quelle application est au premier plan4. MITRE signale aussi des applications qui enregistrent les touches ou captent des informations sur les gestes de l'écran7.
  • La persistance : Cerberus désactive Google Play Protect pour éviter d'être découvert et supprimé plus tard3. Il peut mettre à jour son code sur commande3.

MITRE précise par ailleurs que le cloisonnement des applications limite l'accès aux données d'une autre application, sauf dans trois cas : stockage externe non protégé, stockage interne aux permissions peu sûres, ou obtention des droits root10.

4AutopsiesCas réels1 min

Cerberus, cheval de Troie bancaire loué

Cerberus est un cheval de Troie bancaire pour Android dont l'usage se loue sur des forums clandestins3. Ses auteurs affirment l'avoir employé deux ans en privé avant la mise en location3. Les références de la fiche MITRE comprennent un rapport de ThreatFabric d'août 2019 et un article du 16 août 2019 sur de faux installateurs d'Adobe Flash Player3. Le logiciel pouvait lire les SMS, obtenir les contacts et la liste des applications, générer de fausses notifications et lancer des attaques par superposition contre les applications désignées par l'attaquant3.

BusyGasper, logiciel espion (depuis mai 2016)

BusyGasper est un logiciel espion Android utilisé depuis mai 20169. Moins de dix victimes sont connues, toutes apparemment en Russie, et toutes infectées par accès physique à l'appareil9. Il peut enregistrer le son, la caméra, copier les photos et l'historique du navigateur, lire des SMS et des données de WhatsApp, Viber et Facebook9. La référence de la fiche est un article d'Alexey Firsh du 29 août 20189.

5Ce que vous faites1 min
  • Installez uniquement depuis le magasin officiel de l'appareil. Une invitation à télécharger un fichier ou un « installateur » depuis un site est suspecte, y compris pour un logiciel connu3.
  • Refusez les droits d'accessibilité, de clavier ou d'administrateur qu'une application demande sans raison claire. MITRE conseille à l'utilisateur de se méfier des permissions dangereuses ou intrusives, comme l'enregistrement d'un clavier ou l'accès à l'accessibilité7.
  • Gardez votre téléphone verrouillé et sous la main : un cas documenté commence par un accès physique9.
  • Mettez à jour le système : certaines protections, comme les restrictions d'Android 10 et d'Android 12, dépendent de la version47.
  • Sur un appareil géré, l'entreprise peut limiter les services d'accessibilité autorisés par une liste explicite, via un outil de gestion des appareils (EMM ou MDM)7.
6Les pièges1 min

Le magasin officiel n'est pas une garantie complète2. Une application malveillante peut aussi cacher son icône, si bien que l'absence d'icône suspecte ne prouve rien6. MITRE écrit que ce type de technique ne se contre pas facilement par des contrôles préventifs, puisqu'elle abuse de fonctions du système6.

Un réglage de sécurité qui change sans votre action est un signal : Cerberus désactive Google Play Protect3. Dans ce cas, ou si une application inconnue réclame des droits étendus, contactez le support.

Fiche

Identifiant
CP-093
Aile
1. Attaques et techniques
Compétence Brain
Sécuriser ses appareils (secure_devices)
Réflexe Brain
cr-071
Schéma
G3 · Coupe Anatomique
Langues
de, en, fr
Sources
10 sources vérifiées le 3 novembre 2026
Sources10 sources
  1. MITRE ATT&CK, « Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1444/ (consulté le 3 novembre 2026)
  2. MITRE ATT&CK, « Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1475/ (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « Cerberus, Software S0480 | MITRE ATT&CK® ». https://attack.mitre.org/software/S0480/ (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1417/002/ (consulté le 3 novembre 2026)
  5. MITRE ATT&CK, « Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1626/ (consulté le 3 novembre 2026)
  6. MITRE ATT&CK, « Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1628/ (consulté le 3 novembre 2026)
  7. MITRE ATT&CK, « Input Capture, Technique T1417 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1417/ (consulté le 3 novembre 2026)
  8. MITRE ATT&CK, « Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1404/ (consulté le 3 novembre 2026)
  9. MITRE ATT&CK, « BusyGasper, Software S0655 | MITRE ATT&CK® ». https://attack.mitre.org/software/S0655/ (consulté le 3 novembre 2026)
  10. MITRE ATT&CK, « Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1409/ (consulté le 3 novembre 2026)

Citer cet article

Brain, « Le sideloading sur mobile », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/sideloading-applications-hors-magasins/

BibTeX 
@misc{brain_cp093_fr_2026,
  author = {Brain},
  title = {Le sideloading sur mobile},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/sideloading-applications-hors-magasins/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0