Une faille Android permet d’installer des malwares dormants sur tous les terminaux

Voici un article de 01net (http://www.01net.com/editorial/616800/une-faille-android-permet-dinstaller-des-malwares-dormants-sur-tous-les-terminaux/) interessant pour les possesseurs de portable sous Android.

===== Une faille Android permet d’installer des malwares dormants sur tous les terminaux =======

Il est possible d’activer, par le simple fait d’une mise à jour du système, des privilèges d’accès cachés d’une application. Presque tous les terminaux Android sont concernés par cette importante brèche de sécurité.

Si vous possédez un terminal Android, sachez qu’une mise à jour de votre système d’exploitation peut, éventuellement, activer des malwares qui se trouvaient déjà sur votre téléphone dans un état dormant et parfaitement inoffensif. Un groupe de chercheurs de l’université d’Indiana et de Microsoft Research vient en effet de découvrir une série de failles dans le dispositif de mise à jour d’Android qui permet à une application déjà installée d’acquérir de nouveaux privilèges systèmes.

Une telle attaque serait particulièrement subtile et difficilement détectable. Un pirate pourrait, par exemple, publier sur les boutiques en ligne des applications dépourvues de tout privilège, donc en apparence parfaitement sécurisées. Mais le jour où l’utilisateur met à jour son système, cette application pourrait se transformer en un malware particulièrement dangereux (voir encadré ci-dessous pour l’explication technique).

Samsung particulièrement touché

Ces failles, baptisées « Pileup Flaws », sont d’autant plus dangereuses qu’elles existent dans presque toutes les versions existantes d’Android, en particulier celles diffusées par Google, LG, HTC et Samsung. Les terminaux de ce dernier sont d’ailleurs particulièrement vulnérables, car la surcouche développée par l’entreprise sud-coréenne renferme beaucoup plus d’opportunités de piratage que les autres.

Concrètement, quels sont les risques encourus par les utilisateurs ? Les chercheurs ont donné une série d’exemples. En fonction de la version d’Android utilisée, un malware pourrait accéder aux messages vocaux, siphonner les logs, envoyer des SMS, modifier les permissions d’autres applications, injecter du code javascript dans le navigateur web, etc. Les chercheurs ont même réussi, dans un cas précis, à remplacer l’application Google Calendar par une autre, à caractère malveillant. Bref, le champ du possible est très large. Au total, les chercheurs ont répertorié des centaines d’opportunités de piratage dans des milliers de terminaux différents.

Ci-dessous une vidéo de démonstration d’une application qui intercepte les messages texte : https://www.youtube.com/watch?v=FyIujYPO3nw

Le grand problème de ces « Pileup Flaws », c’est que ces failles de sécurité ne peuvent pas être facilement comblées, en raison de la grande fragmentation du marché Android. Presque chaque constructeur a créé sa propre version de ce système. C’est autant de patchs qu’il faudra donc diffuser. Et comme ni les constructeurs, ni les utilisateurs ne sont particulièrement réactifs dans ce genre de procédure, on entrevoit l’ampleur de la tâche. C’est pourquoi les chercheurs ont développé une appli, baptisée « Secure Update Scanner », qui permet de scanner les applications installées sur un terminal pour voir si elles ne risquent pas de se doter de privilèges d’accès dans une future mise à jour. Cette application est gratuite et disponible, entre autres, sur Google Play (https://play.google.com/store/apps/details?id=com.iu.seccheck), Amazon App Store (http://www.amazon.com/gp/product/B00IZOHC40), GetJar (http://www.getjar.mobi/mobile/808409/Secure-Update-Scanner) et SlideMe (http://slideme.org/application/secure-update-scanner). Il est fortement recommandé de l’installer.

Explication technique :

Chaque application Android peut être dotée d’un certain nombre de privilèges d’accès, liés à ses fonctionnalités. Ces privilèges sont décrits dans un fichier baptisé manifest.xml. Au moment de l’installation de l’application, le système Android parcourt ce fichier et avertit l’utilisateur sur les éventuels risques. Le problème, c’est que certains privilèges n’existent qu’à partir de certaines versions d’Android, et que les versions inférieures sont incapables de reconnaître. L’idée est donc d’insérer des privilèges futurs dans le fichier manifest.xml. L’actuelle version d’Android n’en tiendra pas compte, mais quand l’utilisateur mettra à jour son système, elles seront automatiquement activées, sans aucune alerte. Il fallait y penser.

=====================================================================