🔍 Audit Mobile Forensique

Pourquoi auditer un téléphone

Un smartphone compromis est souvent plus dangereux qu'un PC infecté : il transporte la vie professionnelle et personnelle, reste allumé en permanence, et accède au micro, à la caméra, aux messages chiffrés et aux codes 2FA.

Quand déclencher un audit

• 🔋 Batterie qui se vide anormalement vite (spyware actif en arrière-plan)
• 🌡 Téléphone chaud au repos
• 📶 Consommation data inexplicable
• 💬 La personne reçoit des infos qu'elle n'a partagé que par téléphone
• 🔎 Application inconnue visible ou invisible dans la liste des processus
• 📱 Appareil qui émet des sons ou s'allume seul
• 🔒 Compte Google / Apple ID connecté depuis un pays étranger

Stack d'outils recommandée

⚡ Coupure d'urgence — à faire en 2 minutes avant tout

📱 Google Account

🍏 Apple ID

Ordre d'intervention terrain

📧 Étape 1 — Audit du compte Google

📱 Étape 2A — Audit Android

2A.1 — Revue manuelle des applications

Paramètres → Applications → Voir toutes les applications

• Apps sans icône ou avec des noms génériques (“System Service”, “Phone Manager”...)
• Apps que l'utilisateur ne reconnaît pas
• Apps installées hors Play Store (vérifier la source)
• Apps avec une date d'installation récente et suspecte

2A.2 — Permissions critiques

Paramètres → Applications → [app suspecte] → Autorisations

2A.3 — Administrateurs d'appareils

Paramètres → Sécurité → Applications d'administration de l'appareil
Seuls « Localiser mon appareil » (Google) et un MDM d'entreprise légitime doivent figurer ici. Tout autre élément est suspect.

2A.4 — AvillaForensics — Extraction messageries

AvillaForensics comble le manque de la stack ADB/MVT : il extrait et déchiffre les bases WhatsApp, Telegram, Signal et 400+ autres applications sans root, via un downgrade APK temporaire automatique.

2A.5 — AndroidQF — Acquisition forensique (Android 16+)

AndroidQF est recommandé par le projet MVT comme successeur de adb backup (déprécié depuis Android 12). C'est la seule méthode fiable sur Android 16 où MVT check-adb est défaillant.

# Téléphone connecté en USB avec débogage activé
./androidqf

# L'outil crée un dossier horodaté avec le dump complet (~5-10 min)
# Analyser avec MVT :
mvt-android check-androidqf \
  --iocs indicators.stix2 \
  --output ./rapport_mvt/ \
  ./androidqf_dump_YYYYMMDD/

# Lire les résultats
cat ./rapport_mvt/detected.json

Un fichier detected.json vide signifie aucun IOC connu détecté. Chaque entrée présente doit être analysée et documentée dans le rapport.

2A.6 — ADB — Analyse avancée

Activer le mode développeur : Paramètres → À propos du téléphone → Numéro de build → Taper 7 fois → Options développeur → Débogage USB → Activer

# Vérifier que le téléphone est détecté
adb devices

# Lister toutes les apps (y compris cachées)
adb shell pm list packages -f > apps_installees.txt

# Apps installées hors Play Store
adb shell pm list packages -i | grep -v "installer=com.android.vending"

# Apps avec droits admin
adb shell dpm list-owners

# Profils MDM actifs
adb shell dumpsys device_policy

# Propriétés système (mode, version, binaires root)
adb shell getprop | grep -E "ro.build|ro.debuggable|service.adb"

# Vérification SELinux
adb shell getenforce

# Export logs système
adb logcat -d > logcat_export.txt

# Récupérer un APK suspect pour analyse
adb shell pm path com.nom.app.suspecte
adb pull /data/app/com.nom.app.suspecte/base.apk ./suspect.apk
# Uploader sur virustotal.com

2A.7 — mitmproxy — Analyse réseau

# Lancement avec enregistrement du dump (recommandé)
mitmproxy --port 8080 -w capture_$(date +%Y%m%d).mitm

# Sur le téléphone :
# WiFi → appui long sur le réseau → Modifier → Options avancées
# → Proxy Manuel → IP laptop : 8080
# Installer le certificat : navigateur → http://mitm.it

# Laisser tourner 10 min, chercher :
# - Connexions vers IP/domaines inconnus
# - Domaines DGA (noms aléatoires)
# - POST requests vers serveurs inconnus

# Analyser le dump après intervention
mitmproxy -r capture_YYYYMMDD.mitm

# Export texte pour intégration au rapport
mitmdump -r capture_YYYYMMDD.mitm > capture_lisible.txt

Fin : Supprimer impérativement le certificat mitmproxy de l'appareil et retirer la configuration proxy.

🍏 Étape 2B — Audit iOS

2B.1 — Profils MDM (signal le plus critique)

Réglages → Général → VPN et gestion de l'appareil
Seul le profil MDM de l'entreprise (si applicable) doit être présent. Supprimer immédiatement tout profil inconnu.

2B.2 — Permissions suspectes

Réglages → Confidentialité et sécurité → vérifier chaque catégorie :

• Localisation — aucune app inconnue ne doit avoir accès « Toujours »
• Microphone — révoquer tout accès non justifié
• Caméra — même principe
• Contacts — applications de messagerie uniquement
• Messages — aucune app tierce ne doit avoir accès

2B.3 — VPN actif non identifié

Réglages → Général → VPN et gestion de l'appareil → VPN
Un VPN ou tunnel actif non demandé par l'utilisateur peut router tout le trafic vers un serveur tiers.

2B.4 — MVT — Mobile Verification Toolkit (iOS)

MVT est pleinement fonctionnel sur iOS via l'analyse de sauvegarde iTunes. C'est la méthode de référence pour détecter Pegasus et spywares d'État.

# Installer MVT
pip install mvt

# Télécharger les indicateurs de compromission (IOC)
wget https://raw.githubusercontent.com/mvt-project/mvt/main/indicators/indicators.stix2

# 1. Faire une sauvegarde iTunes NON CHIFFRÉE sur le laptop
# 2. Analyser la sauvegarde :
mvt-ios check-backup \
  --iocs indicators.stix2 \
  --output ./rapport_mvt_ios/ \
  /chemin/vers/sauvegarde/

# Lire les résultats
cat ./rapport_mvt_ios/detected.json

📋 Matrice de décision — quel outil pour quel cas

🛠 Étape 3 — Rémédiation

Aucune menace détectée

• Renforcement des paramètres de sécurité (fait étape 2)
• 2FA activé sur tous les comptes sensibles
• Installer Malwarebytes Mobile (gratuit, bon ratio signal/bruit)
• Sensibilisation au phishing mobile et aux demandes d'installation d'apps tierces

Application malveillante détectée (Android)

# Désinstallation forcée via ADB
adb shell pm uninstall --user 0 com.nom.app.malveillante

Compromission profonde confirmée

✅ Bonnes pratiques préventives

Niveau système

• 📱 Maintenir le système à jour — les spywares exploitent les vulnérabilités connues (Android et iOS)
• 🔒 Activer le chiffrement complet du stockage (activé par défaut sur les appareils modernes)
• 🔐 Utiliser un code PIN de 6+ chiffres ou une phrase de passe (pas les schémas)
• 📵 Désactiver l'installation d'apps hors store officiel
• 📴 Ne jamais laisser le débogage USB activé en dehors d'une intervention

Niveau applicatif

• 🧠 Auditer les permissions de chaque app installée (révoquer ce qui n'est pas nécessaire)
• 🚫 Refuser systématiquement les demandes d'accès à l'Accessibilité sauf usage légitime connu
• 📥 Ne jamais installer un APK reçu par email, SMS ou lien externe
• 📲 Utiliser des messageries chiffrées open source (Signal) pour les communications sensibles

Niveau compte & accès

• 🔑 MDP unique par service, géré par un gestionnaire (Bitwarden, Passbolt)
• 🛡 2FA activé sur Google, Apple ID et tous les comptes à enjeu
• 📋 Audit trimestriel des appareils connectés et accès tiers sur les comptes Google / Apple
• 📶 Ne jamais se connecter à un WiFi public sans VPN pour les usages professionnels