Google a beau embaucher certains des meilleurs ingénieurs de l’industrie, les produits de l’entreprise ne sont malheureusement pas dépourvu de failles.

La plus récente, découverte par la firme de sécurité Zimperium, ciblerait environ 95% des téléphones propulsés par son système d’exploitation. Selon ces spécialistes, le bug en question – nommé Stagefright – est toujours présent sous Android Lollipop, et son existence remonterait aussi loin que la version 2.2 de l’OS, lancée en 2010.

Zimperium invite les détenteurs de téléphones Android à communiquer avec leur opérateur de services cellulaires afin de demander à ce que leur téléphone reçoive la mise à jour.

Tout ce dont un pirate a besoin pour mettre en péril la confidentialité de vos données personnelles est votre numéro de téléphone. À partir de celui-ci, le malfrat peut vous transmettre un fichier multimédia via MMS dans le but d’installer une porte d’entrée vers votre appareil. Une fois l’opération complétée, le pirate peut alors transmettre un fichier trojan vers l’appareil de destination, et ce, même lorsque celui-ci est en mode veille. Il aura alors le loisir d’accéder aux fichiers du téléphone, d’enregistrer vos conversations en prenant le contrôle du microphone, d’obtenir des éléments servant à votre authentification, et enfin de supprimer quoi que ce soit, y compris les preuves de son intrusion.

«Ces vulnérabilités sont extrêmement dangereuses, car elles ne requièrent aucune interaction de la part de la victime afin d’être exploitées», explique Zuk Avraham, directeur de la technologie chez Zimperium. «Contrairement à l’hameçonnage, où la victime a besoin d’ouvrir un document PDF ou un lien envoyé par l’attaquant, cette vulnérabilité peut être déclenchée pendant que vous dormez. Avant même que vous ne soyez réveillé, l’attaquant aura éliminé toute trace prouvant que l’appareil a été attaqué, et vous vivrez votre journée comme à l’habitude – avec un cheval de Troie dans votre téléphone.»

Bien que Google ait déjà appliqué un correctif concernant le bug en question à l’Android Open Source Project, les détenteurs de téléphones Android devraient être proactifs dans la mise à jour de leur appareil. Zimperium les invite à communiquer avec leur opérateur de services cellulaires afin de demander à ce que leur téléphone reçoive la mise à jour.

On peut supposer que Google publiera sous peu des mises à jour pour les diverses versions d’Android, étant donné la nature fragmentaire de son écosystème – et le fait qu’une bonne partie des appareils ne pouvant être propulsés par KitKat ou Lollipop sont toujours en utilisation.

Zimperium présentera sa découverte en détail dans le cadre des conférences Black Hat et Def Con le mois prochain.