Le mécanisme repose sur des vulnérabilités logicielles présentes dans le traitement des images par l’application ou le système d’exploitation. Des failles comme CVE-2025-21042 sur certains téléphones Samsung ont montré qu’une simple image DNG pouvait exécuter du code malveillant, sans aucune interaction de l’utilisateur. Ce phénomène, appelé attaque « zero-click », exploite le processus automatique de génération de miniatures ou d’analyse de fichiers lors du téléchargement automatique des médias.
Sommaire :
Comment une image devient un cheval de Troie
Techniquement, une image n’est pas un programme exécutable. Elle contient uniquement des données de couleur et de luminosité. Le danger vient des bibliothèques de traitement d’images (codecs) utilisées par WhatsApp ou le système pour afficher la photo. Un pirate peut créer un fichier malformé ou contenant du code caché dans ses métadonnées. Lorsque le codec tente de l’analyser, la faille est exploitée et le code malveillant s’exécute à l’insu de l’utilisateur.
Pour qu’une attaque réussisse :
- la vulnérabilité doit être non corrigée dans le codec utilisé,
- l’exploit doit être conçu spécifiquement pour cette faille,
- le téléphone doit télécharger automatiquement l’image,
- l’utilisateur ne doit pas avoir modifié les paramètres par défaut.
Sans ces conditions, l’attaque ne réussirait jamais. L’image pourrait être affichée, si elle était réellement une image, ou non, si elle ne l’était pas.
VOIR AUSSI : WhatsApp : Envoyer des photos et vidéos en haute qualité, c’est désormais possible !
Des attaques ciblées mais rares
Ces attaques sont extrêmement complexes et réservées à des cybercriminels très instruits ou expérimentés. Elles ciblent généralement des personnes à haute valeur stratégique : journalistes, dirigeants, opposants politiques.
Des exemples concrets incluent la vulnérabilité CVE-2019-11932 sur Android, où un simple GIF pouvait exécuter du code à distance, et CVE-2025-21042 sur Samsung via des images DNG. Dans les deux cas, les correctifs ont rapidement été déployés par les éditeurs.
Bien que ciblant généralement une catégorie de personnes données, n’importe qui peut en être victime à tout moment. Pour cela, voici quelques mesures simples suffisent pour limiter le risque :
- Mettre à jour systématiquement le téléphone et WhatsApp : activez les mises à jour automatiques pour appliquer rapidement les correctifs.
- Désactiver le téléchargement automatique des médias : ainsi, les images restent sur les serveurs et ne sont téléchargées que si l’utilisateur le souhaite.
- Se méfier des expéditeurs inconnus : ne jamais ouvrir un fichier provenant d’un contact inconnu.
- Utiliser uniquement les stores officiels : Google Play Store et App Store vérifient les applications et limitent les malwares.
- Redémarrer régulièrement le téléphone : cela peut aider à effacer certains malwares résidant uniquement en mémoire vive.
La mise à jour régulière reste la meilleure défense, chaque correctif fermant une porte potentiellement exploitée par les hackers.
IdealoGeek est un média indépendant. Soutiens-nous en nous ajoutant à tes favoris sur Google Actualités :
J’ai envoyé plein de photos intimes à mon/ma partenaire via WhatsApp. Et ce crétin les a partagées avec ses amis. Quelle honte ! Bref, on a rompu à cause de ça. Merci pour le rappel. Je me suis inscrit sur femme mariée cherche aventure et, en quelques semaines, j’ai rencontré quelqu’un avec qui nous avons même planifié des sorties le week-end. C’est incroyable comme il est facile de trouver une personne avec des intérêts similaires. Et vous, avez-vous déjà eu une rencontre inattendue grâce à une recherche en ligne ? Les possibilités sont vraiment surprenantes.