Android : la faille qui écoute les conversations

Une faille, présente depuis Android 5.0, vient d’être portée à la lumière par des chercheurs. Celle-ci permettrait d’écouter à tout moment l’environnement de n’importe quel smartphone.

Les murs ont des oreilles

Les nouvelles technologies ont toujours été suspectées de s’introduire dans notre vie privée. Il n’est ainsi pas rare d’observer un bout de papier placé sur la caméra d’un ordinateur portable, afin qu’elle ne puisse retransmettre en direct ce qui se passe devant elle. Cette observation est l’un des thèmes chers aux thrillers modernes, mais il est rare qu’elle trouve un écho dans l’actualité.

De nombreux utilisateurs préfèrent se prémunir contre l’utilisation intrusive de leur webcam.

Toutefois, les chercheurs de MWR Labs viennent de révéler l’existence d’une faille sur Android. Celle-ci permettrait, par le biais de l’application MediaProjection, d’enregistrer tant l’audio que l’activité se déroulant sur l’écran du smartphone. L’agence de sécurité a d’ailleurs précisé que la fonctionnalité en cause est présente depuis la toute première version d’Android. Cependant, elle ne pouvait, jusqu’à la quatrième version du système d’exploitation de Google, être utilisée que par des applications issues du constructeur du smartphone lui-même. Un accès root ainsi qu’un certificat OEM étaient des conditions impératives afin de s’en servir jusqu’alors. Les choses ont désormais changé.

Un changement d’autorisations est à l’origine de la faille

Depuis la cinquième version d’Android, Lollipop, l’utilisation de cette fonction ne se fait plus de la même manière. Elle est ainsi ouverte à tous les développeurs d’Android, qui peuvent l’utiliser dans le cadre de l’utilisation de leurs applications. Elle ne nécessite plus que l’accord de l’utilisateur, lequel est souvent prompt à accepter sans les lire les privilèges préalables à l’installation du programme souhaité. Une autorisation peut également être demandée par le biais d’une fenêtre pop-up apparaissant une fois le logiciel lancé ; et c’est ici que se trouve essentiellement la faille.

Une fenêtre pop-up telle que celle-ci peut être détournée et ne pas éveiller les soupçons.

Car il est aisé, pour les pirates, de détourner le message apparaissant, et en lieu et place, le maquiller par une autre demande qui n’attirera pas la méfiance de l’utilisateur. Une demande d’accès au répertoire, ou à la géolocalisation, par exemple, pourraient cacher l’utilisation de MediaProjection. Dès lors, le pirate pourrait avoir accès aux sons captés par le micro du smartphone, comme à ce qui est affiché sur l’écran de ce dernier.

Trois portables Android sur quatre affectés par cette vulnérabilité

Il est important de noter que toutes les versions d’Android ne sont pas concernées par cette faille. Si les quatre premières moutures n’y étaient pas vulnérables, un correctif a tout de même été apporté à cette application sur la huitième version, Oreo. Actuellement, il est néanmoins compliqué de se procurer cette dernière mise à jour en date du système d’exploitation. Essentiellement proposé sur les nouveaux smartphones, parus depuis cet été, Oreo devrait voir son déploiement effectué au début de l’année 2018. Les versions 5 à 7 d’Android représentent actuellement plus des trois quarts du parc de machines animées sous Android, en sachant que certaines ne pourront pas évoluer vers Oreo lorsqu’il sera disponible.

La liste des versions Android vulnérables à cette faille représente plus de 75% des appareils actuellement activés.

Avec près d’un milliard et demi de terminaux vulnérables à une faille qu’il a lui-même autorisée, Google serait inspiré de hâter le déploiement d’Android Oreo.