L’équipe de sécurité Bluebox clame avoir découvert une vulnérabilité dans le système de sécurité d’Android permettant à une personne malintentionnée par exemple de modifier le code d’un APK sans casser la signature de l’application.
Autrement dit, cette faille permettrait à un hacker de modifier le code d’une app afin de la transformer en cheval de Troie sans que le système ne s’en rende compte. La faille est d’autant plus grave qu’elle est présente depuis Android 1.6 qui est sorti il y a quasiment quatre ans. Potentiellement, cette faille concerne quasiment 900 millions d’appareils.
Si cette faille de sécurité est mise en œuvre, elle offre aux hackers une large palette de choix. Cela va du vol de données à la création d’un botnet mobile !
La menace est d’autant plus grave que dès qu’un Trojan s’est installé via une app, il a accès à l’intégralité du système, à toutes les applications ainsi qu’à leurs données. Il pourrait non seulement accéder à des données sensibles (mail, SMS, documents, accès aux mots de passe), mais prendre le contrôle de l’appareil pour réaliser certaines actions plus embarrassantes comme passer des coups de fil (on vous laisse imaginer les dégâts avec les numéros surtaxés), envoyer des SMS en rafale, ou enregistrer des appels.
La bonne nouvelle dans l’affaire, c’est que cette faille a été découverte par des chercheurs en sécurité et non des hackers. Le problème a été soumis à Google en février. Ce qui va être intéressant de voir dans cette affaire, c’est la réactivité des différents acteurs dans l’écosystème d’Android.
C’est un sacré test pour Google et ses partenaires. La faille sera dévoilée en détail à l’occasion de la conférence Black Hat qui se tient du 27 juillet au 1er aout à Las Vegas.
En attendant la sortie d’un correctif, l’équipe de Bluebox vous recommande de redoubler de vigilance lorsque vous téléchargez une app avec un smartphone Android.
[MàJ] ComputerWorld rapporte que le Galaxy S4 inclut déjà un patch afin de se prémunir contre cette faille. Google, de son côté, travaille toujours sur un correctif pour ses Nexus.
Si cette faille de sécurité est mise en œuvre, elle offre aux hackers une large palette de choix. Cela va du vol de données à la création d’un botnet mobile !
La menace est d’autant plus grave que dès qu’un Trojan s’est installé via une app, il a accès à l’intégralité du système, à toutes les applications ainsi qu’à leurs données. Il pourrait non seulement accéder à des données sensibles (mail, SMS, documents, accès aux mots de passe), mais prendre le contrôle de l’appareil pour réaliser certaines actions plus embarrassantes comme passer des coups de fil (on vous laisse imaginer les dégâts avec les numéros surtaxés), envoyer des SMS en rafale, ou enregistrer des appels.
La bonne nouvelle dans l’affaire, c’est que cette faille a été découverte par des chercheurs en sécurité et non des hackers. Le problème a été soumis à Google en février. Ce qui va être intéressant de voir dans cette affaire, c’est la réactivité des différents acteurs dans l’écosystème d’Android.
C’est un sacré test pour Google et ses partenaires. La faille sera dévoilée en détail à l’occasion de la conférence Black Hat qui se tient du 27 juillet au 1er aout à Las Vegas.
En attendant la sortie d’un correctif, l’équipe de Bluebox vous recommande de redoubler de vigilance lorsque vous téléchargez une app avec un smartphone Android.
[MàJ] ComputerWorld rapporte que le Galaxy S4 inclut déjà un patch afin de se prémunir contre cette faille. Google, de son côté, travaille toujours sur un correctif pour ses Nexus.
