Comment supprimer un malware d'Android (8 étapes, réinitialisation d'usine en dernier)

Réponse rapide : la plupart des malwares Android se suppriment sans réinitialisation d’usine. Redémarrez en Mode sans échec pour que les applications tierces cessent de s’exécuter, trouvez l’application arrivée au moment où les ennuis ont commencé, retirez-lui les autorisations qui lui permettent de résister à la suppression (administrateur de l’appareil, Accessibilité, superposition sur d’autres applis), désinstallez-la, nettoyez votre navigateur, puis lancez Google Play Protect et un scanner réputé installé depuis le Play Store. Changez les mots de passe que vous avez saisis pendant qu’il tournait. Gardez la réinitialisation d’usine pour la fin, et lisez la note sur les téléphones bon marché dont le malware est livré dans le firmware avant de compter dessus.

Un malware Android est rarement un « virus » spectaculaire. Il s’agit le plus souvent d’adwares, de fausses applications utilitaires et de SDK publicitaires agressifs qui arrivent via des applications installées hors du Play Store, des APK piratés ou un lien reçu par SMS. La minorité plus dangereuse, ce sont les chevaux de Troie bancaires, qui demandent l’autorisation Accessibilité pour lire votre écran et taper à votre place. Les deux se suppriment de la même façon, parce qu’Android vous donne deux outils qu’un PC n’a pas : un mode de démarrage qui désactive toutes les applications que vous avez installées, et des écrans d’autorisations qui montrent exactement ce que chaque application avait le droit de faire.

Triage en 60 secondes : dans quel cas êtes-vous ?

Signes que votre Android est peut-être infecté

• Des pubs en pop-up apparaissent en dehors de toute application, sur l’écran d’accueil ou l’écran de verrouillage, ou des pubs plein écran s’ouvrent sans source évidente.
• Le navigateur redirige sans cesse vers des pages que vous n’avez pas demandées, ou votre page d’accueil ou votre moteur de recherche a changé tout seul.
• La batterie se vide et la consommation de données mobiles grimpe sans changement dans votre usage du téléphone.
• Des applications que vous ne vous souvenez pas avoir installées apparaissent dans le tiroir d’applications, parfois avec une icône vide ou générique.
• Une application a demandé l’accès à l’Accessibilité ou à devenir administrateur de l’appareil juste après son installation.
• Votre banque ou Google vous envoie des codes de connexion ou des alertes « nouvelle connexion » que vous n’avez pas déclenchés, ou des SMS que vous n’avez jamais écrits partent de votre téléphone.
• Une application réapparaît sans cesse après que vous l’avez supprimée.

Chacun de ces signes peut être anodin. Plusieurs ensemble signifient généralement qu’un adware ou une application malveillante est en cours d’exécution. Si vous avez surtout les symptômes batterie et chauffe, lisez d’abord Mon téléphone est-il piraté ?, car ces deux-là sont les moins révélateurs du lot.

Étape 1 - Redémarrer en Mode sans échec

Le Mode sans échec démarre Android avec uniquement les applications livrées avec le téléphone. Tout ce que vous avez installé est temporairement désactivé, donc le malware ne peut pas bloquer l’application Paramètres, dessiner par-dessus l’écran ni se réinstaller pendant que vous travaillez.

1. Maintenez le bouton marche/arrêt enfoncé (sur les Samsung et Pixel récents, appuyez sur marche/arrêt + volume bas en même temps, car un appui court sur marche/arrêt seul ouvre l’assistant).
2. Touchez et maintenez « Éteindre » jusqu’à ce qu’une invite « Redémarrer en mode sans échec » apparaisse, puis confirmez.
3. Le téléphone redémarre avec « Mode sans échec » affiché dans un coin de l’écran.

Si les pop-ups et les ralentissements cessent en Mode sans échec, une application téléchargée en est presque certainement la cause. Le Mode sans échec ne supprime rien : quand vous avez terminé, un redémarrage normal ramène toutes les applications, c’est pourquoi vous désinstallez le coupable avant d’en sortir.

Étape 2 - Trouver l’application responsable

Deviner fait perdre du temps. Android tient trois listes qui désignent le coupable.

• Installées récemment. Ouvrez Paramètres → Applications → Afficher toutes les applications. Sur la plupart des téléphones, le menu à trois points (⋮) propose de trier ou de filtrer par date d’installation. Tout ce qui a été installé dans les jours précédant le début des ennuis passe en tête de votre liste de suspects.
• Batterie et données. Paramètres → Batterie → Utilisation de la batterie et Paramètres → Réseau et Internet (Samsung : Connexions) → Utilisation des données classent les applications par consommation. Une application que vous n’ouvrez jamais mais qui trône près du sommet est un signal fort.
• Qui a le droit d’installer des applications. Paramètres → Applications → Accès spécial des applications → Installation d’applis inconnues liste toutes les applications auxquelles vous avez un jour permis d’installer d’autres applications. Un gestionnaire de fichiers, une messagerie ou un « téléchargeur » avec ce commutateur activé, c’est par là que le malware est entré, et il peut installer la charge suivante. Désactivez le commutateur pour tout ce qui n’en a pas strictement besoin.

Les fausses applications « cleaner », « économiseur de batterie », « scanner QR », « lampe torche », « mise à jour système » et « mise à jour Chrome » sont les déguisements habituels. Si un nom vous laisse un doute, cherchez-le depuis un autre appareil avant de supprimer.

Étape 3 - Désinstaller les applications suspectes

Toujours en Mode sans échec, ouvrez Paramètres → Applications, touchez l’application suspecte, puis Désinstaller. Parcourez votre liste de suspects une application à la fois. Si le bouton Désinstaller est grisé ou si l’application réapparaît, passez à l’étape 4 ; c’est exactement à ça qu’elle sert.

Étape 4 - Impossible de la désinstaller ? Retirez les autorisations derrière lesquelles elle se cache

Un malware survit à la suppression en détenant une ou plusieurs de quatre autorisations. Retirez-les dans cet ordre, puis revenez dans Paramètres → Applications et désinstallez.

1. Administrateur de l’appareil. Ouvrez Paramètres, cherchez Applications d’administration de l’appareil (souvent sous Sécurité → Autres paramètres de sécurité). Désactivez le commutateur à côté de l’application suspecte. C’est l’astuce classique qui grise le bouton Désinstaller.
2. Accessibilité. Ouvrez Paramètres → Accessibilité et regardez sous Applications téléchargées (Samsung : Applications installées). Une application dont le service d’Accessibilité est activé peut lire tout ce qui s’affiche à l’écran, appuyer sur des boutons et remplir des champs, ce qui est exactement la façon dont les chevaux de Troie bancaires comme Rokarolla contournent votre application bancaire. Désactivez tous les services que vous ne reconnaissez pas.
3. Superposition sur d’autres applis. Paramètres → Applications → Accès spécial des applications → Superposition sur d’autres applis. C’est ce qui permet à un faux écran de connexion d’apparaître par-dessus le vrai. Révoquez-la pour tout ce que vous n’avez pas accordé en connaissance de cause.
4. Accès aux notifications. Paramètres → Applications → Accès spécial des applications → Accès aux notifications (ou Notifications des appareils et des applis). Une application présente ici peut lire vos codes de vérification SMS à leur arrivée. Désactivez les entrées inconnues.

Depuis Android 13, les applications installées hors d’une boutique d’applications sont bloquées sur les écrans Accessibilité et Accès aux notifications par une fonction appelée Paramètres restreints : les commutateurs sont tout simplement grisés jusqu’à ce que vous ouvriez la fiche de l’application et choisissiez « Autoriser les paramètres restreints » dans son menu. Le malware vous guide donc, instructions à l’écran à l’appui, pour faire exactement cela. Si vous vous souvenez avoir suivi de telles instructions, vous avez trouvé votre application.

Étape 5 - Nettoyer votre navigateur

L’adware vit souvent dans le navigateur plutôt que dans une application séparée, et un site sur lequel vous avez un jour touché « Autoriser » peut envoyer des notifications indésirables qui ressemblent à des alertes système. Dans Chrome (ou le navigateur que vous utilisez) :

• Ouvrez Paramètres → Paramètres des sites → Notifications et bloquez tout site que vous ne reconnaissez pas. Ce seul écran règle la plupart des pop-ups « alerte virus » sur Android.
• Effacez le cache et les cookies (Paramètres → Confidentialité et sécurité → Effacer les données de navigation).
• Réinitialisez votre page d’accueil et votre moteur de recherche par défaut s’ils ont changé.
• Vérifiez Paramètres → Applications → Applications par défaut → Navigateur : l’adware installe parfois son propre navigateur et le définit par défaut, pour que les liens s’y ouvrent.

Étape 6 - Lancer Google Play Protect et un scanner réputé

Redémarrez normalement, puis laissez le scanner intégré d’Android faire une passe :

1. Ouvrez le Google Play Store, touchez votre icône de profil et choisissez Play Protect.
2. Touchez Analyser. Play Protect vérifie les applications installées, y compris celles installées hors boutique, et propose de désactiver ou de supprimer ce qu’il signale. Activez « Analyser les applis avec Play Protect » et « Améliorer la détection des applis dangereuses » pour qu’il envoie aussi à Google, pour analyse, les applications inconnues installées hors boutique. Sur les Pixel sous Android 15 et versions ultérieures, la détection des menaces en direct de Play Protect surveille aussi le comportement des applications installées, pas seulement leur contenu.

Pour un second avis, installez une application anti-malware connue uniquement depuis le Play Store, comme Malwarebytes ou Bitdefender, lancez une analyse complète et supprimez ce qu’elle signale. Restez sur des noms que vous connaissez déjà : une recherche « antivirus » dans n’importe quelle boutique d’applications renvoie des dizaines d’applications qui sont elles-mêmes des adwares.

Étape 7 - Verrouiller les comptes que le malware a pu atteindre

Supprimer l’application n’efface pas ce qu’elle a vu. Faites ceci depuis le téléphone nettoyé ou, mieux, depuis un ordinateur :

• Changez le mot de passe de votre compte Google et lancez le Check-up Sécurité de Google : déconnectez les appareils inconnus, retirez les applications tierces que vous ne reconnaissez pas sous « Accès tiers », et vérifiez que le téléphone et l’e-mail de récupération sont bien les vôtres.
• Changez tous les mots de passe saisis sur le téléphone pendant que le malware était actif, en commençant par la banque, l’e-mail et tout compte qui reçoit des codes SMS. Activez la validation en deux étapes avec une application d’authentification plutôt que par SMS partout où le service le permet.
• Vérifiez votre banque. Si une application bancaire s’est comportée bizarrement ou si vous avez reçu des codes de vérification non demandés, appelez la banque, passez en revue les opérations récentes et demandez si un nouvel appareil ou un nouveau bénéficiaire a été enregistré.
• Regardez les transferts de messages. Dans votre application SMS et dans votre compte e-mail, vérifiez qu’aucune règle de transfert ni aucun appareil lié n’a été ajouté. Un transfert survit à n’importe quel nettoyage du téléphone, c’est pourquoi les attaquants persistants le placent là.

Étape 8 - Dernier recours : sauvegarder, puis réinitialiser aux paramètres d’usine

Si les pop-ups reviennent sans cesse, qu’une application se réinstalle toute seule ou que les analyses signalent toujours la même menace, une réinitialisation d’usine remet le téléphone dans un état propre.

• Sauvegardez d’abord photos, contacts et fichiers importants sur votre compte Google ou un ordinateur. Ne restaurez pas une sauvegarde qui contient l’application infectée.
• Allez ensuite dans Paramètres → Système → Options de réinitialisation → Effacer toutes les données (rétablir la configuration d’usine) (Samsung : Paramètres → Gestion globale → Réinitialisation → Réinitialiser toutes les données).
• Lors de la reconfiguration du téléphone, réinstallez les applications une par une depuis le Play Store. Sautez l’option « restaurer toutes les applications », qui ramènerait le malware directement.

Un avertissement honnête. Une réinitialisation d’usine efface la partition des données, pas la partition système. Sur certains téléphones Android et boîtiers TV bon marché sans marque, on a trouvé des malwares préinstallés dans le firmware lui-même ; l’équipe sécurité de Google a documenté la famille Triada faisant exactement cela en 2019. Une telle infection revient après une réinitialisation parce que celle-ci ne l’a jamais touchée. Si un téléphone montre les mêmes symptômes immédiatement après une réinitialisation propre, sans aucune application installée, la solution est une mise à jour du firmware par le fabricant ou, de façon réaliste, un autre téléphone.

Comment l’empêcher de revenir

FAQ

Android a-t-il besoin d’une application antivirus ? Pas forcément. Google Play Protect est intégré et analyse les applications automatiquement. Un scanner réputé à la demande, installé depuis le Play Store, est un second avis utile si vous installez des applications hors boutique ou si vous soupçonnez déjà une infection. Voir ai-je besoin d’un antivirus ? pour la réponse longue.

Le Mode sans échec supprime-t-il quelque chose ? Non. Le Mode sans échec empêche seulement les applications tierces de s’exécuter pendant cette session. Vos applications et vos données sont intactes, et un redémarrage normal ramène tout, y compris le malware si vous ne l’avez pas désinstallé.

Comment savoir quelle application provoque les pop-ups ? Regardez ce qui a été installé juste avant le début des ennuis, quelles applications sont en tête des listes de consommation de batterie et de données, et quelles applications détiennent les droits d’Accessibilité ou de superposition sur d’autres applis. Une application qui figure sur deux de ces listes et que vous ne vous souvenez pas avoir installée est votre coupable.

Une réinitialisation d’usine supprime-t-elle tous les malwares ? Une réinitialisation d’usine supprime toutes les applications et toutes les données que vous avez installées, ce qui élimine la grande majorité des malwares Android. Les exceptions sont les malwares préinstallés dans le firmware de certains appareils bon marché, et ceux que vous ramenez vous-même en restaurant une sauvegarde complète des applications. Réinstallez les applications une par une depuis le Play Store.

Peut-on attraper un malware juste en visitant un site web ? Un site web ne peut pas installer silencieusement une application sur un Android à jour, mais il peut afficher de fausses pop-ups « votre téléphone est infecté », envoyer des notifications déguisées en alertes système ou vous pousser à télécharger un APK. N’installez rien qu’une page web vous incite à télécharger, et bloquez les notifications du site dans votre navigateur.

Pourquoi le bouton Désinstaller est-il grisé ? L’application a obtenu des droits d’administrateur de l’appareil. Révoquez-les dans Paramètres → Applications d’administration de l’appareil, puis désinstallez normalement. Si le commutateur lui-même résiste, faites-le depuis le Mode sans échec.

À lire ensuite : Rokarolla · Mon téléphone est-il piraté ? Les signes qui comptent vraiment (et ceux qui ne prouvent rien) · Supprimer un virus de l’iPhone