Comment fonctionne le Vérificateur d'apps suspectes d'Applore, et ses limites

Avant de modifier quoi que ce soit

Ce que compare la vérification

Le Vérificateur d’apps suspectes d’Applore examine chaque application installée sur votre téléphone et la compare de trois façons à une liste de menaces :

• le nom de package de l’application, l’identifiant unique de chaque application Android, comme com.example.app ;
• le certificat de signature de l’application, la signature numérique qu’utilise son développeur. Une correspondance compte même si l’application a été renommée ;
• l’empreinte du fichier de l’application, un code calculé à partir du fichier d’installation de l’application sur votre téléphone. Elle correspond à une version exacte d’une application.

La liste de menaces réunit plusieurs sources publiques :

• les indicateurs de stalkerwares publiés par Echap sous licence CC BY 4.0. Ils couvrent les stalkerwares, des applications vendues pour surveiller secrètement une autre personne, et un ensemble distinct de watchwares, des applications de surveillance comme les outils de contrôle parental ou de suivi des employés, généralement installées ouvertement ;
• les indicateurs du Mobile Verification Toolkit (licence MIT), qui répertorient des logiciels espions commerciaux documentés par des chercheurs ;
• les indicateurs publiés par ESET (licence BSD 2-Clause) pour les applications Android nuisibles ;
• une courte liste tenue par Applore lui-même, avec par exemple des applications de test antivirus et des noms de produits de stalkerware.

Les applications nuisibles connues ne sont jamais reconnues par leur seul nom de package. Les applications nuisibles reconditionnées reprennent souvent le nom d’une application populaire, et une correspondance de nom pourrait faire signaler l’application authentique. Elles ne sont reconnues que par leur certificat de signature ou l’empreinte exacte de leur fichier.

Comment la liste arrive sur votre téléphone. Une personne relit chaque mise à jour et la publie à la main. Applore recherche une nouvelle liste signée environ une fois par jour quand le téléphone est en ligne. Il vérifie la signature, rejette tout fichier modifié, endommagé ou plus petit que prévu, et continue alors d’utiliser la liste qu’il a déjà. Une copie est aussi fournie avec l’application. La recherche d’une mise à jour télécharge un fichier et n’envoie rien sur vos applications.

Aucune de ces sources n’est complète. Echap indique que ses indicateurs ne forment pas une liste complète des stalkerwares et que leur exactitude n’est pas garantie, et une nouvelle version d’une application peut apparaître avant qu’une liste l’inclue. C’est pourquoi Applore recherche aussi des signes d’alerte.

Les résultats de Google Play Protect

Si Google Play Protect est activé, Applore lui demande aussi quelles applications installées il signale comme nuisibles, et les liste en citant Play Protect comme source. Play Protect est l’outil d’analyse de Google, intégré aux téléphones Android équipés de Google Play. Si Play Protect est désactivé, ou si le téléphone n’a pas les services Google Play, cette partie de la vérification est ignorée et le reste se poursuit. Quand Play Protect est désactivé, le Vérificateur d’apps suspectes affiche une note pour que vous puissiez le réactiver. Ce que vérifie Google Play Protect explique ses propres limites.

Les signes de comportement qu’Applore note

Pour les applications absentes de la liste, Applore note des signes que présentent souvent les applications de surveillance. Pris isolément, chacun est aussi courant dans des applications normales.

Être installée en dehors d’une boutique d’applications est une condition préalable, pas une preuve en soi. Une application installée depuis un fichier, avec une icône visible, n’atteint Élevé que si un autre signe fort vient s’y ajouter : une icône cachée, à la fois l’accès à l’accessibilité et l’accès aux notifications, un nom d’application système, un certificat de test développeur, ou l’accès à au moins quatre éléments parmi le micro, l’appareil photo, la position, les messages, le journal d’appels et les contacts, tout en étant réglée pour rester active et démarrer avec le téléphone. Un enregistreur d’appels que vous avez installé vous-même peut ressembler à ce dernier cas : vous pouvez donc le marquer comme fiable.

Une copie d’une application populaire, à elle seule, est Valable à vérifier : les versions modifiées et les téléchargements officiels depuis le site d’un développeur se présentent aussi ainsi. Elle n’atteint Élevé qu’avec une icône cachée ou un accès à l’accessibilité, aux notifications ou à l’administration de l’appareil.

Applore ignore les applications système et lui-même. Les applications installées par le micrologiciel du fabricant, comme les applications régionales ou d’opérateur, sont traitées comme des installations depuis une boutique d’applications.

Ce que signifient les niveaux

Chaque application signalée reçoit l’un de ces niveaux, avec les mêmes mots que dans l’application :

Application de surveillance connueÉlevéValable à vérifierNon signalé

• Application de surveillance connue : le nom de package, le certificat de signature ou l’empreinte du fichier correspond à un stalkerware connu de la liste, une application de surveillance connue a été installée depuis un fichier et cache son icône, ou une application installée hors boutique utilise le nom d’un produit de stalkerware connu et peut utiliser des accès sensibles.
• Élevé : installée en dehors d’une boutique d’applications avec des signes d’alerte forts, comme une icône désactivée, ou une icône cachée associée à un accès à l’accessibilité, aux notifications ou à l’administration de l’appareil. Une application qui correspond à une application nuisible connue par son certificat ou son fichier, ou que Google Play Protect signale comme nuisible, est aussi Élevé, quelle que soit sa provenance. Une application de test antivirus apparaît également ici, marquée comme menace de test inoffensive.
• Valable à vérifier : quelques signes d’alerte, ou une application de surveillance connue installée depuis une boutique d’applications. Examinez-la quand vous avez un moment.
• Non signalé : aucune correspondance et pas assez de signes. Ce n’est pas la preuve que l’application, ou le téléphone, ne pose pas de problème.

Dans Applore, À propos de cette application explique chaque résultat en termes simples : ce que l’application peut voir ou faire, d’où elle vient, quand elle a été installée et pourquoi elle a été signalée.

Applications de surveillance et stalkerwares

Les applications familiales, parentales et de suivi des employés issues de Google Play sont désignées comme applications de surveillance, pas comme stalkerwares. Elles sont généralement installées ouvertement et peuvent être légitimes, mais elles peuvent aussi être détournées. Une application installée depuis une boutique d’applications peut atteindre au plus Valable à vérifier, sauf si elle correspond à la liste de menaces ou si Play Protect la signale. Applications de surveillance et stalkerwares explique la différence.

Supprimé du Play : une liste à part

Applore affiche aussi Supprimé du Play : les applications installées qui figurent sur une liste téléchargée d’applications que Google a retirées de Google Play pour des raisons de règlement, surtout pour publicité abusive ou fraude. Ce n’est pas une recherche de logiciels espions ni de logiciels malveillants, et cette liste est tenue à l’écart du Vérificateur d’apps suspectes. Elle n’augmente jamais le niveau de stalkerware d’une application et n’envoie jamais de rappel à elle seule.

Quand les vérifications s’exécutent

Applore vous demande votre consentement avant de lire votre liste d’applications pour la première fois. Ensuite, les vérifications s’exécutent :

• quand vous ouvrez Applore ;
• en arrière-plan selon un planning, avec une nouvelle vérification quotidienne de chaque application installée ;
• quand des applications sont ajoutées ou mises à jour, au moment où Android signale ces changements.

L’économiseur de batterie d’Android peut retarder les vérifications en arrière-plan : une nouvelle application peut donc ne pas être vérifiée immédiatement.

Si Applore trouve un résultat Application de surveillance connue ou Élevé, il vous le rappelle plus tard, puis encore, jusqu’à ce que vous agissiez : après environ une heure, plus tard dans la journée, le lendemain, puis chaque jour pendant une semaine et chaque semaine ensuite. Balayer un rappel n’efface pas le résultat. Un résultat est résolu quand l’application est supprimée, ou quand vous la marquez comme fiable avec le code PIN ou le schéma de votre Verrouillage d’applis. Les résultats Valable à vérifier apparaissent dans la liste sans rappel.

Ce qu’Applore ne peut pas faire

Applore ne peut pas non plus voir quels accès spéciaux une autre application a obtenus pour certains paramètres, comme l’accès aux données d’utilisation ou l’affichage par-dessus d’autres applications. Il peut seulement voir que l’application les a demandés.

Certains types de surveillance échappent à toute vérification d’applications :

• les implants dans le logiciel système du téléphone ou les outils qui nécessitent un téléphone rooté ;
• les attaques qui n’ont besoin d’aucune application, comme les exploits « zéro clic » ;
• l’espionnage par un compte ou un service cloud partagé ou connecté. La Vérification de sécurité vous guide dans ces paramètres, mais elle ne peut pas les inspecter à votre place ;
• le trafic réseau, et le transfert d’appels ou de messages mis en place auprès de votre opérateur.

Ce qui est envoyé et ce qui ne l’est pas

• La vérification s’exécute sur votre téléphone. La détection n’envoie rien sur vos applications, et les résultats restent sur l’appareil.
• Les mises à jour de la liste de menaces sont de simples téléchargements. Applore récupère la liste signée sur applore.io. Comme toute requête web, cela montre votre adresse IP au serveur, mais rien sur vos applications.
• Play Protect est interrogé sur le téléphone. Si Play Protect est activé, Applore l’interroge via les services Google Play de votre téléphone.
• Aucun nom de package n’est envoyé aux outils de mesure d’audience. Les événements de mesure d’audience liés à la vérification contiennent des nombres, pas des noms d’applications.
• Une exception : Catégorie d’application. Quand vous ouvrez Catégorie d’application dans le Gestionnaire d’Apps, les noms de package sont envoyés au serveur d’Applore pour classer les applications par catégorie. C’est une fonctionnalité distincte, présentée dans la politique de confidentialité.
• Le rapport ne quitte le téléphone que si vous le partagez. Un rapport de preuves est créé sur votre téléphone et n’en sort que par le menu de partage d’Android, vers l’endroit que vous choisissez. Voir partager un relevé de ce qu’Applore a trouvé.

Obtenir de l’aide

L’application Applore comprend des contacts d’aide pour l’Inde, les États-Unis et le Royaume-Uni, ainsi que des options internationales. Si vous vivez ailleurs, cherchez une ligne d’écoute contre les violences conjugales dans votre pays. Lignes d’écoute indique par où commencer. Si vous êtes en danger immédiat, contactez le numéro d’urgence local.

Pour la liste des données et licences tierces qu’utilise Applore, consultez les crédits. Tous les guides de sécurité se trouvent dans le centre de sécurité.