Antonio Domenech Picó analysait le comportement nocturne de son téléphone portable OPPO au moment où il a décidé d'effectuer un contrôle plus exhaustif avec deux téléphones portables et une tablette. « J'ai détecté que mon téléphone communiquait à l'aube avec un domaine que je ne connaissais pas ».
Il a expliqué le trafic crypté qu'il voyait toutes les 30 minutes. L'origine de l'enquête se reflète dans la première publication qu'il a faite sur l'affaire sur LinkedIn, le 20 septembre 2026. Il a attribué ce trafic au programme Music, inclus dans ColorOS, que, selon son histoire, ni lui ni sa femme n'avaient ouvert. Cette conclusion a été tirée grâce à un avis généré par Suricata, qui surveillait son réseau.
L’article sur leurs découvertes, publié le 24 septembre 2026, comprend des communications enregistrées sur plusieurs nuits.
Il précise que les éléments suivants ont été utilisés pour effectuer les contrôles : deux téléphones OPPO CPH2173 avec Android 14 et ColorOS 14, et une tablette avec Android 13. PCAPdroid a été installé sur les appareils, et Suricata et ntopng ont fonctionné sur le réseau pendant plusieurs nuits.
Domenech a également rendu compte des mesures qu'il a prises après avoir découvert l'origine du trafic. Plus précisément, il a désactivé l’application Musique sur les deux téléphones mobiles ; Le domaine à l’origine de l’alerte a cessé d’apparaître pendant plus de neuf heures de tests simultanés.
Selon son récit, le résultat reliait la candidature au domaine en question. Cette observation est limitée à ces appareils et à cette période. Dans ses mots : « Nous ne savons pas de quel trafic il s'agit car il est crypté, mais nous savons qu'il y a une connexion depuis les téléphones portables, périodiquement, et nous savons où elle va ».
L'inspection des captures ne permet pas de connaître le contenu crypté sans le décrypter. De plus, une requête DNS (Domain Name System) n’est pas équivalente à une connexion chiffrée TLS. L'adresse peut être stockée et réutilisée sans autre consultation.
Ainsi, les conseils offerts par Domenech doivent être examinés avec prudence. Il a recommandé de revoir les autorisations des applications et d'effectuer une segmentation du réseau à l'aide de réseaux locaux virtuels (VLAN). Il a souligné l’importance de revoir les paramètres de confidentialité des téléviseurs intelligents.
Sur les appareils comme Alexa ou Google, il est recommandé d'éteindre l'équipement manuellement à l'aide de son bouton physique lorsqu'il n'est pas utilisé. Il a également mentionné la nécessité de vérifier les mises à jour du micrologiciel et le cryptage de bout en bout des caméras de sécurité. Il dit qu’il est bon d’éviter de les installer à l’intérieur de la maison. Enfin, Domenech a exprimé sa crainte que l’intelligence artificielle ne devienne impossible à contrôler et a défendu la souveraineté numérique et la régulation de l’IA.
Autorisations des applications
Lorsqu'ils tentent de vérifier les privilèges des applications mobiles, les utilisateurs peuvent se référer à l'aide officielle d'Android.
En modifiant ces paramètres, chaque personne peut autoriser ou refuser l'accès à la caméra, au microphone ou au lieu. L'autorisation de se connecter à Internet fonctionne d'une manière différente. Selon la documentation des développeurs Android, il appartient au groupe d'autorisations normales et est accordé automatiquement lors de l'installation d'une application, sans être demandé lors de son utilisation.
Cela explique pourquoi refuser l’accès au microphone n’empêche pas en soi une application de se connecter à Internet. De plus, dans le panneau de confidentialité, disponible depuis Android 12, vous pouvez examiner quelles applications ont utilisé des autorisations telles que l'appareil photo ou la localisation. Il se trouve dans Confidentialité, sous Sécurité et confidentialité ou Confidentialité dans les paramètres du téléphone.
Cette fonctionnalité d'affichage a ses limites car elle indiquera quand l'autorisation du microphone ou de la caméra a été utilisée, mais pas les serveurs contactés. Une analyse plus approfondie de l'activité mobile peut être réalisée à l'aide d'un PC et d'un fichier de capture de trafic au format PCAP.
Comment capturer le trafic mobile
Dans son article, Domenech a proposé quelques conseils sur PCAPdroid, un outil open source de capture de trafic pour Android. L'application est installée sur le téléphone mobile de l'utilisateur, où elle permet de configurer et d'analyser la capture.
Dans cet article, l'auteur décrit la capture du trafic avec PCAPdroid et l'utilisation de ntopng sur votre réseau. PCAPdroid ne nécessite pas d'autorisations d'administrateur. La section de présentation du projet PCAPdroid explique que le processus est effectué à l'aide d'un réseau privé virtuel (VPN) local et que le trafic n'est pas transmis à un serveur VPN distant. Les fonctions de base vous permettent d'examiner les connexions des utilisateurs et des applications système ainsi que le volume du trafic. Le pare-feu est une fonctionnalité payante facultative. Des étapes de décryptage supplémentaires sont nécessaires pour comprendre le contenu des connexions cryptées.
Les instructions en ligne peuvent vous aider et sont faciles à suivre. Pour vérifier les connexions, un utilisateur peut lancer l'application, appuyer sur le bouton de capture, accepter l'autorisation VPN locale, laisser le téléphone intact pendant un certain temps et arrêter la capture pour l'examiner.
Ce qui change avec Doze
Pour une analyse précise, les conditions dans lesquelles les tests sont effectués peuvent influencer les résultats. Par exemple, Android dispose d'une fonctionnalité appelée Doze qui restreint l'activité réseau et le traitement en arrière-plan après une période d'inactivité. Ce scénario suppose que le téléphone mobile reste allumé, avec l'écran éteint et déconnecté du chargeur.
Cela peut entraîner des différences dans la comparaison si, par exemple, le téléphone était en charge une nuit mais pas l'autre nuit. La raison est expliquée dans la documentation de Doze : le système restreint l'accès au réseau, ouvre des fenêtres périodiques pour exécuter les tâches en attente et quitte cet état lorsque l'appareil est connecté à un chargeur.
L'analyse des paramètres proposés par les applications et la gestion des privilèges accordés à chacune d'elles ont été incluses dans le guide de confidentialité Xataka.
La possibilité de supprimer une application préinstallée dépend du fait que le fabricant autorise ou non cette action. Google explique que certaines applications système ne peuvent pas être désinstallées, même si sur certains téléphones, les applications préinstallées peuvent être désactivées. Dans le cas de Music, Domenech l'a désactivé. Cela ne garantit pas que la même procédure soit disponible pour toute autre application indésirable.
Images | Unsplash avec édition, PCAPdroid et Xataka
