Des millions de téléphones Android potentiellement vulnérables à de l'espionnage

 
Des chercheurs en sécurité ont découvert une vulnérabilité dans les smartphones Android qui pourrait permettre à un pirate de prendre des photos et d’enregistrer des vidéos secrètement sans autorisation.
 
Et l’exploit fonctionne même si le téléphone est verrouillé ou l’écran éteint, voire pendant un appel réel – le tout à l’insu de l’utilisateur.
 
Les chercheurs de Checkmarx ont découvert un moyen de contourner le protocole d’autorisation qui fournit normalement une couche de protection aux utilisateurs d’Android contre les applications faisant plus que ce qu’elles devraient.
 
L’un des aspects les plus effrayants est que si un attaquant distant réussissait à exploiter cette faille pour voler des photos de votre téléphone Android, il pourrait alors examiner les métadonnées EXIF ​​intégrées aux photos pour localiser votre emplacement.
 
Comme les chercheurs l’ont expliqué, une des vulnérabilités détectées dans les applications de caméra préinstallées sur des millions d’appareils Android, appelée CVE-2019-2234, était au cœur de l’exploit.
 
À titre de démonstration (preuve de concept), les chercheurs ont créé une application météo malveillante ne demandant aucune autorisation spéciale au-delà de l’accès de base au stockage et ne risquant donc pas de paraître suspecte ou dangereuse, même pour les utilisateurs les plus prudents.
 
Lorsque l’application est exécutée, elle crée une connexion persistante avec un serveur de contrôle-commande (C & C) distant, à partir duquel un cybercriminel peut lui envoyer des instructions. Selon les chercheurs, même la fermeture de l’application ne met pas fin à la connexion.
 
Avec cette application illégitime installée, les chercheurs ont pu :
_ Prendre une photo sur le téléphone de la victime et la télécharger sur le serveur C & C
_ Enregistrer une vidéo sur le téléphone de la victime et la télécharger sur le serveur C & C
_ Analyser toutes les dernières photos pour trouver les tags GPS et localiser le téléphone sur une carte
_ Fonctionner en mode furtif : le téléphone est mis en veille tout en prenant des photos et en enregistrant des vidéos
_ Accéder à un appel en direct et enregistrer automatiquement la vidéo du côté de la victime et le son des deux côtés de la conversation.
 
Une vidéo publiée par l’équipe de recherche montre qu’ils exploitent avec succès la faille de sécurité sur les appareils Google Pixel 2 XL et Pixel 3.
 
Les chercheurs ont divulgué de manière responsable les détails des vulnérabilités à Google et les informations de la faille de gravité élevée n’ont été rendus publics que lorsque Google et Samsung ont publié des correctifs.
 
Cependant, il semble très probable qu’il existe encore des téléphones Android non corrigés, sur lesquels les dernières mises à jour de sécurité ne sont pas installées.