Si vous possédez un terminal Android, sachez qu’une mise à jour de votre système d’exploitation peut, éventuellement, activer des malwares qui se trouvaient déjà sur votre téléphone dans un état dormant et parfaitement inoffensif. Un groupe de chercheurs de l’université d’Indiana et de Microsoft Research vient en effet de découvrir une série de failles dans le dispositif de mise à jour d’Android qui permet à une application déjà installée d’acquérir de nouveaux privilèges systèmes.
Une telle attaque serait particulièrement subtile et difficilement détectable. Un pirate pourrait, par exemple, publier sur les boutiques en ligne des applications dépourvues de tout privilège, donc en apparence parfaitement sécurisées. Mais le jour où l’utilisateur met à jour son système, cette application pourrait se transformer en un malware particulièrement dangereux (voir encadré ci-dessous pour l’explication technique).
Samsung particulièrement touché
Ces failles, baptisées « Pileup Flaws », sont d’autant plus dangereuses qu’elles existent dans presque toutes les versions existantes d’Android, en particulier celles diffusées par Google, LG, HTC et Samsung. Les terminaux de ce dernier sont d’ailleurs particulièrement vulnérables, car la surcouche développée par l’entreprise sud-coréenne renferme beaucoup plus d’opportunités de piratage que les autres.
Concrètement, quels sont les risques encourus par les utilisateurs ? Les chercheurs ont donné une série d’exemples. En fonction de la version d’Android utilisée, un malware pourrait accéder aux messages vocaux, siphonner les logs, envoyer des SMS, modifier les permissions d’autres applications, injecter du code javascript dans le navigateur web, etc. Les chercheurs ont même réussi, dans un cas précis, à remplacer l’application Google Calendar par une autre, à caractère malveillant. Bref, le champ du possible est très large. Au total, les chercheurs ont répertorié des centaines d’opportunités de piratage dans des milliers de terminaux différents.
Ci-dessous une vidéo de démonstration d’une application qui intercepte les messages texte :
Le grand problème de ces « Pileup Flaws », c’est que ces failles de sécurité ne peuvent pas être facilement comblées, en raison de la grande fragmentation du marché Android. Presque chaque constructeur a créé sa propre version de ce système. C’est autant de patchs qu’il faudra donc diffuser. Et comme ni les constructeurs, ni les utilisateurs ne sont particulièrement réactifs dans ce genre de procédure, on entrevoit l’ampleur de la tâche. C’est pourquoi les chercheurs ont développé une appli, baptisée « Secure Update Scanner », qui permet de scanner les applications installées sur un terminal pour voir si elles ne risquent pas de se doter de privilèges d’accès dans une future mise à jour. Cette application est gratuite et disponible, entre autres, sur Google Play, Amazon App Store, GetJar et SlideMe. Il est fortement recommandé de l’installer.
Lire aussi:
99% des smartphones Android frappés par une faille de sécurité majeure, le 05/07/2013
Android devrait dépasser les 3 millions d’applis malicieuses d’ici fin 2014, le 09/12/2013
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
