Comment analyser les fichiers IPA pour détecter les malwares avant l’installation

Avant d’installer un fichier IPA provenant de l’extérieur de l’App Store, quelques minutes de vérification peuvent vous éviter une application modifiée qui vole les identifiants, les contacts ou les données de localisation. Ce guide présente des méthodes concrètes pour vérifier un IPA contre les malwares, d’une analyse en ligne rapide à l’inspection manuelle du fichier, ainsi que la marche à suivre si vous avez déjà installé quelque chose de suspect. Dernière vérification : 27 octobre 2026, sur la base de la documentation de VirusTotal et MobSF, et du guide de l’utilisateur de l’iPhone d’Apple pour iOS 26.

Les risques, d’abord

• Aucune analyse ne peut garantir qu’un IPA est sûr. Les scanners détectent les menaces connues ; une modification nouvelle ou bien dissimulée peut passer tous les contrôles.
• Télécharger un fichier vers un scanner en ligne revient à le partager. La documentation de VirusTotal indique que les résultats sont partagés « entre les partenaires d’analyse » et que « le contenu des fichiers ou pages soumis peut également être partagé avec les clients premium de VirusTotal ». Ne téléchargez jamais un IPA contenant vos propres données ou des builds privés.
• La source compte plus que l’analyse elle-même. Un fichier provenant de la page de publication officielle du développeur est bien moins risqué que la même application republiée par un inconnu.

Checklist rapide

Vérification	Durée	Nécessite	Ce que ça détecte
Recherche sur la source	5 minutes	Un navigateur	Les faux sites, les republications, les sources ayant mauvaise réputation
Hash du fichier	1 minute	Terminal, un hash publié	Toute modification du fichier après sa publication par l’éditeur
VirusTotal	Quelques minutes	Un navigateur	Les malwares connus déjà détectés par les moteurs antivirus
Inspection du contenu de l’IPA	10 minutes	Outil de décompression, idéalement un Mac	Les bibliothèques supplémentaires injectées dans l’application
MobSF	15 minutes ou plus	Docker, ou la démo en ligne	Les permissions à risque, les trackers, les URL et clés codées en dur

Pourquoi les fichiers IPA peuvent être dangereux

Un fichier IPA est une archive ZIP qui contient une application iOS. Toute personne disposant des bons outils peut prendre une application réelle, y ajouter son propre code, la reconditionner et la partager. Le résultat ressemble à l’original et fonctionne comme lui, mais le code ajouté peut s’exécuter en arrière-plan avec les autorisations que vous accordez à l’application. C’est ce qu’on appelle une application reconditionnée ou modifiée, et c’est le principal moyen par lequel les logiciels malveillants atteignent les iPhone en dehors de l’App Store.

Les outils de sideloading re-signent chaque application avec un nouveau certificat avant de l’installer, donc la signature présente sur votre iPhone ne vous indique rien sur qui a créé l’application. C’est pourquoi les vérifications ci-dessous doivent être effectuées avant l’installation.

Méthode 1 : Rechercher des informations sur la source

Faites cela en premier, car c’est la seule vérification capable de détecter quelque chose qu’aucun scanner ne connaît encore.

• Privilégiez la page de publication officielle du développeur, comme les releases GitHub de l’application, plutôt qu’un miroir quelconque.
• Recherchez le nom exact du fichier ou de la source sur Reddit (r/sideloaded, r/jailbreak) pour voir s’il y a des signalements de problèmes.
• Méfiez-vous des sites web tout juste créés, des liens d’hébergement de fichiers anonymes et des canaux Telegram sans historique.
• Méfiez-vous particulièrement des sites proposant gratuitement des applications payantes. Ces fichiers ont toujours été modifiés par quelqu’un, par définition.

Notre liste des bibliothèques et dépôts IPA explique ce qu’il faut rechercher chez une source.

Méthode 2 : Vérifier le hash du fichier

Certains développeurs publient un hash SHA-256 à côté de leur téléchargement. Un hash est une empreinte numérique du fichier : si ne serait-ce qu’un seul octet change, le hash est complètement différent. Si le hash de votre fichier correspond à celui publié, vous avez exactement le fichier que le développeur a publié.

• Mac : ouvrez le Terminal et exécutez shasum -a 256 /path/to/app.ipa
• Windows : ouvrez PowerShell et exécutez Get-FileHash C:\path\to\app.ipa -Algorithm SHA256
• Linux : exécutez sha256sum /path/to/app.ipa

Une correspondance n’est utile que si le hash provient du développeur, et non du même site qui vous a fourni le fichier. Un hash présent sur un miroir prouve seulement que le fichier est celui que ce miroir a mis en ligne.

Méthode 3 : analyser avec VirusTotal

VirusTotal est un service gratuit qui vérifie un fichier à l’aide de ce que sa documentation décrit comme « plus de 70 scanners antivirus et services de blocage d’URL/domaines ».

1. Ouvrez virustotal.com sur votre ordinateur.
2. Choisissez File, sélectionnez l’IPA, puis attendez la fin de l’analyse.
3. Avant de télécharger le fichier, collez son empreinte SHA-256 dans l’onglet Search. Si quelqu’un a déjà analysé le même fichier, vous obtenez les résultats sans rien envoyer.
4. Lisez les noms de détection, pas seulement leur nombre.

Comment interpréter le résultat :

• Plusieurs moteurs identifient la même famille de malware : ne l’installez pas.
• Une ou deux détections avec des noms génériques : cela peut être un faux positif. La documentation de VirusTotal précise qu’il est également utile pour repérer les faux positifs, « des éléments normaux et inoffensifs détectés comme malveillants par un ou plusieurs scanners ». Consultez les commentaires de la communauté sur le résultat et réexaminez la source.
• Aucune détection : signifie qu’aucun moteur ne le reconnaît comme un malware. Cela ne signifie pas que le fichier est sain.

Méthode 4 : regarder à l’intérieur de l’IPA

Comme un IPA est un fichier ZIP, vous pouvez l’ouvrir sans l’installer.

1. Copiez le fichier et renommez la copie de app.ipa en app.zip.
2. Extrayez-le. Il contient un dossier Payload avec un dossier AppName.app à l’intérieur (sur Mac, faites un clic droit dessus et choisissez Afficher le contenu du paquet).
3. Ouvrez Info.plist et vérifiez l’identifiant de bundle et la version. Ils doivent correspondre à l’application attendue.
4. Regardez dans le dossier Frameworks et dans le dossier de l’application à la recherche de fichiers .dylib. Un code injecté est généralement ajouté sous la forme d’un dylib supplémentaire portant un nom qui n’a rien à voir avec l’application.

Sur un Mac équipé des outils en ligne de commande Xcode, deux commandes vont plus loin :

• otool -L Payload/AppName.app/AppName liste les bibliothèques que charge le programme principal de l’application. Un chemin vers une bibliothèque se trouvant dans l’application qui ne fait pas partie de ses propres frameworks est un signal d’alerte.
• codesign -dv --verbose=4 Payload/AppName.app indique qui a signé le fichier. Comparez-le avec le développeur attendu, en gardant à l’esprit que de nombreux IPA sont distribués non signés ou re-signés.

Certaines applications modifiées, comme les tweaked apps, sont censées contenir des dylibs supplémentaires. La question n’est alors pas de savoir s’il y en a un, mais si vous faites confiance à la personne qui l’a ajouté.

Méthode 5 : analyse approfondie avec MobSF

Mobile Security Framework (MobSF) est un outil gratuit et open source. Son README indique que l’analyseur statique prend en charge les binaires d’applications, y compris les fichiers IPA, et il mentionne des usages tels que l’analyse de malwares et l’analyse de confidentialité. Un rapport MobSF sur un IPA montre des éléments comme les autorisations demandées, les adresses réseau et les chaînes de caractères trouvées dans l’application.

• Lancez-le vous-même : le README propose une configuration Docker : docker pull opensecurity/mobile-security-framework-mobsf:latest, puis docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest, et ouvrez localhost:8000 dans un navigateur.
• En ligne : le README renvoie vers un analyseur statique en ligne à l’adresse mobsf.live. La même précaution concernant la confidentialité s’applique que pour VirusTotal : vous téléversez le fichier sur le serveur d’un tiers.

Recherchez les autorisations dont l’application ne devrait pas avoir besoin (une calculatrice demandant l’accès aux contacts), ainsi que les adresses réseau qui n’appartiennent pas au développeur de l’application.

Si vous avez déjà installé une application suspecte

1. Supprimez l’application : appuyez longuement sur son icône, appuyez sur Supprimer l’app, puis sur Supprimer l’app.
2. Vérifiez Réglages > Général > VPN et gestion d’appareils et supprimez tout profil que vous ne reconnaissez pas.
3. Vérifiez les autorisations dans Réglages > Confidentialité et sécurité, et consultez le Rapport de confidentialité des applications pour voir quels domaines les applications ont contactés.
4. Changez les mots de passe de tous les comptes auxquels vous vous êtes connecté dans cette application, en commençant par votre Apple Account et votre e-mail.
5. Si vous pensez que la compromission est sérieuse, sauvegardez ce dont vous avez besoin, puis effacez l’iPhone dans Réglages > Général > Transférer ou réinitialiser l’iPhone > Effacer contenu et réglages.

Les étapes détaillées pour chaque autorisation se trouvent dans notre guide sur comment révoquer l’accès des applications non fiables.

Bonnes habitudes

• Récupérez les applications depuis la page de publication du développeur lui-même lorsqu’elle existe.
• Vérifiez le hash lorsqu’il est publié, et scannez avec VirusTotal à chaque fois.
• N’accordez les autorisations que lorsqu’une application en a besoin pour l’usage que vous en faites.
• Utilisez un Apple ID distinct pour le sideloading si votre outil en demande un, afin que le compte principal ne soit jamais exposé.

Pour une vue d’ensemble, consultez notre guide de sécurité sur le sideloading iOS et ce qu’il faut savoir sur les certificats entreprise.

FAQ

Puis-je scanner un IPA sur mon iPhone ?

Vous pouvez ouvrir virustotal.com dans Safari et téléverser le fichier depuis l’application Fichiers. Examiner le contenu de l’IPA et exécuter MobSF nécessitent un ordinateur.

L’examen de l’App Store protège-t-il les applications installées en sideloading ?

Non. Un IPA installé en sideloading n’est jamais passé par App Review, même si l’application d’origine est sur l’App Store.

Un résultat VirusTotal propre suffit-il ?

Non. Cela signifie seulement qu’aucun moteur ne reconnaît le fichier comme un malware connu. Combinez cela avec une source fiable et un examen du contenu du fichier.