Une nouvelle faille de sécurité a été récemment découverte sur le Google Play Store. Il menace des milliards d’appareils Android qui peuvent être facilement infectés par des applications malveillantes.
On ne le dira jamais assez, mais faites attention aux applications que vous installez sur vos appareils ! Dans un rapport, les chercheurs en cybersécurité de Microsoft expliquent avoir découvert une faille dans le fonctionnement de plusieurs applications Android. Cette vulnérabilité, appelée Dirty Stream, permet potentiellement à une application malveillante de contacter certaines applications légitimes pour exécuter des commandes malveillantes à distance, accédant ainsi aux données personnelles stockées sur l’appareil et sur le réseau local auquel il est connecté. Selon l’équipe de chercheurs, environ 20 % des applications Android sont vulnérables à ce type d’attaque et 4 milliards d’installations sont déjà concernées. Un défaut majeur !
Dirty Stream : une faille dans la façon dont les applications communiquent
Cette faille de sécurité réside dans la façon dont les applications Android communiquent entre elles. Pour faire simple, sous le système d’exploitation de Google, les applications peuvent échanger des données entre elles. En manipulant une fonction appelée « intentions personnalisées », les attaquants peuvent contourner les contrôles de sécurité pour amener une application compromise à transmettre un fichier avec un nom ou un chemin manipulé vers une autre application « propre ». Celui-ci, sans soupçon, exécutera alors le code ou le stockera dans l’un de ses répertoires critiques. L’attaquant a alors tout le temps de voler les données de l’application ciblée, y compris les plus sensibles, et d’en prendre le contrôle total.
Microsoft a découvert cette faille de sécurité dans plusieurs applications populaires, comme la suite WPS Office, qui compte près de 500 millions de téléchargements, et le gestionnaire de fichiers de Xiaomi, qui compte 1 milliard de téléchargements. Autant dire que cela fait un sacré nombre d’appareils exposés. Pire encore, l’application de Xiaomi permet d’accéder à d’autres fichiers au sein du réseau local, ce qui pourrait permettre à une application malveillante de se propager dans les dossiers d’autres appareils connectés au même Wi-Fi.
Au total, les applications contenant cette faille détectées par Microsoft ont cumulé plus de 4 milliards de téléchargements. De quoi offrir une vaste surface d’attaque à tout hacker qui en prendrait conscience. « Nous partageons cette découverte afin que les développeurs et éditeurs d’applications puissent vérifier si leurs logiciels sont vulnérables et y remédier si nécessaire », explique Microsoft. Alertés par l’entreprise, Xiaomi et WPS Office se sont empressés de déployer des correctifs. De son côté, Google a mis à jour ses consignes de sécurité destinées aux développeurs d’applications Android, afin de prévenir l’apparition de vulnérabilités dans le fonctionnement du fournisseur de contenu d’applications Android.
De plus, nous ne pouvons que vous conseiller de mettre à jour vos applications via le Play Store et de vérifier les autorisations dont disposent les applications installées. Évitez surtout d’installer des logiciels qui ne proviennent pas des stores officiels, car, même s’ils ne sont pas parfaits, les outils de détection et de sécurité du Play Store filtrent quand même une majorité des menaces.
