Près de 95% des téléphones Android sont vulnérables à une nouvelle faille de sécurité

Sécurité

Liste de tags

La sécurité de la majorité des téléphones Android est compromise par un bug pouvant être exploité à travers les versions 2.2 à 5.1 de l’OS.

Google a beau embaucher certains des meilleurs ingénieurs de l’industrie, les produits de l’entreprise ne sont malheureusement pas dépourvu de failles.

La plus récente, découverte par la firme de sécurité Zimperium, ciblerait environ 95% des téléphones propulsés par son système d’exploitation. Selon ces spécialistes, le bug en question – nommé Stagefright – est toujours présent sous Android Lollipop, et son existence remonterait aussi loin que la version 2.2 de l’OS, lancée en 2010.

Zimperium invite les détenteurs de téléphones Android à communiquer avec leur opérateur de services cellulaires afin de demander à ce que leur téléphone reçoive la mise à jour.

Tout ce dont un pirate a besoin pour mettre en péril la confidentialité de vos données personnelles est votre numéro de téléphone. À partir de celui-ci, le malfrat peut vous transmettre un fichier multimédia via MMS dans le but d’installer une porte d’entrée vers votre appareil. Une fois l’opération complétée, le pirate peut alors transmettre un fichier trojan vers l’appareil de destination, et ce, même lorsque celui-ci est en mode veille. Il aura alors le loisir d’accéder aux fichiers du téléphone, d’enregistrer vos conversations en prenant le contrôle du microphone, d’obtenir des éléments servant à votre authentification, et enfin de supprimer quoi que ce soit, y compris les preuves de son intrusion.

«Ces vulnérabilités sont extrêmement dangereuses, car elles ne requièrent aucune interaction de la part de la victime afin d’être exploitées», explique Zuk Avraham, directeur de la technologie chez Zimperium. «Contrairement à l’hameçonnage, où la victime a besoin d’ouvrir un document PDF ou un lien envoyé par l’attaquant, cette vulnérabilité peut être déclenchée pendant que vous dormez. Avant même que vous ne soyez réveillé, l’attaquant aura éliminé toute trace prouvant que l’appareil a été attaqué, et vous vivrez votre journée comme à l’habitude – avec un cheval de Troie dans votre téléphone.»

Bien que Google ait déjà appliqué un correctif concernant le bug en question à l’Android Open Source Project, les détenteurs de téléphones Android devraient être proactifs dans la mise à jour de leur appareil. Zimperium les invite à communiquer avec leur opérateur de services cellulaires afin de demander à ce que leur téléphone reçoive la mise à jour.

On peut supposer que Google publiera sous peu des mises à jour pour les diverses versions d’Android, étant donné la nature fragmentaire de son écosystème – et le fait qu’une bonne partie des appareils ne pouvant être propulsés par KitKat ou Lollipop sont toujours en utilisation.

Zimperium présentera sa découverte en détail dans le cadre des conférences Black Hat et Def Con le mois prochain.

  • Steve Rodrigue

    « Depending on the MMS application in use, the victim might never know they had even received a message. »

    J’ai trouvé un article avec un peu plus de détails techniques: http://www.techworm.net/2015/07/stagefright-attack-it-takes-only-a-single-text-message-to-hack-an-android-smartphone.html

    Pour mitiger le problème, on peut désactiver le téléchargement automatique des messages MMS dans la plupart des applications SMS/MMS. Par exemple, dans Google Hangouts, on va dans Paramètres, ensuite SMS et on désactive la récupération automatique des MMS. Deuxième point de vigilance, si vous recevez un MMS d’un numéro qui n’est pas dans vos contacts ou qui n’est pas attendu, vous ne devriez pas l’accepter et immédiatement l’effacer.

    Dernier détail qui n’est pas clair dans les articles que j’ai trouvé sur le sujet était si on devait avoir le fameux paramètre qui autorise l’installation en provenance de « sources inconnues » activé pour être une victime potentielle. En passant, ce paramètre devrait toujours être désactivé sur un appareil Android à moins d’être un développeur ou d’avoir une raison légitime de l’activer.

  • Gaston

    Malgré ce que les « haïsseur de pomme » peuvent dire, quand un bug ou une faille comme celle là est découverte sur iOS, c’est plus simple et plus facile d’installer la correction que sur Android.

    Et avant de recevoir une pluie d’injure, je veux juste dire que je n’ai pas de téléphone « zintelligent » ou non (m’enfin, à part celui relié à un fil dans la maison que je ne me sers presque pas), alors je suis plutôt impartial en regard aux OS de téléphones.

    • Steve Rodrigue

      Là-dessus, personne ne vous contredira. Avec la panoplie d’appareils et de fabricants, Android peut être mal supporté. D’où l’importance de choisir des manufacturiers responsables ou plus réputés lors de l’achat d’un mobile Android.

      J’ai vraiment hâte d voir à quel point cette faille va créer des remous. Est-ce que ça va donner un coup de pied au derrière des fabricants moins responsables?