Les développeurs de CamScanner, une application très populaire sur Android avec plus de 100 millions de téléchargements, ont subitement perdu tout leur karma. Jusqu’alors adorés pour la qualité de leur application de scan de documents, ils sont désormais des pestiférés. « On ne peut plus vous confiance », « Vous avez échoué », « C’est dégoutant », « Je veux être remboursé », « CamScanner ? Plutôt CamScammer »… peut-on lire sur Twitter.
Les raisons de cette colère ? Les chercheurs en sécurité de Kaspersky ont découvert que l’application gratuite pour smartphone Android avait récemment intégré une nouvelle librairie publicitaire, et que celle-ci était en réalité un cheval de Troie. Dans une partie chiffrée du module figurait, en réalité, un « downloader » qui, une fois activé, allait chercher d’autres modules à installer sur le serveur abc.abcdserver[.]com. Il pouvait donc installer et exécuter du code arbitraire sur le smartphone, ce qui est un comportement clairement malveillant.
Une nouvelle version est disponible
Alerté par Kaspersky, Google a éjecté l’application de sa boutique en ligne. De son côté, l’éditeur de CamScanner confirme que la version 5.11.7 de son application contient un module publicitaire de la société AdHub qui, entre autres, « génère des clics publicitaires non autorisés ». « L’injection de code suspect viole la politique de sécurité de CamScanner ! Nous allons immédiatement procéder à des actions en justice contre AdHub ! », martèle l’éditeur, qui propose d’ores et déjà une version mise à jour, expurgée de cette fameuse librairie. Pour l’obtenir, il faut toutefois se rendre directement sur le site de CamScanner, car elle n’est pas encore disponible sur Google Play.
ATTENTION, ALL ANDROID USERS! To address your recent concerns, we are here to make the following statement and you may download the new version: https://t.co/79tt0IrMdw pic.twitter.com/Er1bE1qcuB
— CamScanner (@CamScanner) August 28, 2019
Cette histoire montre, en tous les cas, que les dispositifs de sécurité mis en place par Google ne sont pas très efficaces. Sur Google Play, l’apparition de ce nouveau module malveillant n’a provoqué aucune alerte. Et le dispositif de protection locale Google Play Protect n’a rien remarqué non plus.
Google cherche à blinder sa boutique Play
Le géant est visiblement conscient de ces limites. Il vient d’annoncer une extension de son programme de récompense Security Reward Program qui permet aux chercheurs en sécurité d’obtenir des primes pour des failles trouvées dans les applications les plus populaires (plus de 100 millions de téléchargements). Google a également lancé un nouveau programme de récompense. Baptisé Data Protection Reward, il est destiné aux chercheurs qui détectent un abus dans le traitement des données personnelles au niveau des applications mobiles ou des extensions Chrome.
Source: Kaspersky
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
