Microsoft tire la sonnette d’alarme : une dangereuse faille de sécurité menace des milliards de smartphones Android dans le monde. En l’exploitant, des applications malveillantes peuvent aisément cacher des malwares dans les répertoires d’applications de confiance.
Si la déclinaison TV d’Android est exposée aux acteurs de la menace, le système d’exploitation mobile pour smartphone est lui aussi menacé par une faille de sécurité. La découverte de cette vulnérabilité revient à Microsoft, qui l’a baptisée “Dirty Stream”. Ce nouveau type d’attaque permet aux applications Android d’installer des fichiers dans le répertoire d’autres applications, permettant potentiellement l’exécution de code malveillant.
Dirty Stream menace des milliards de smartphones Android
La faille aurait pour origine le fournisseur de contenu d’Android, qui gère l’accès aux données destinées à être partagés entre différentes applications. Ce système intègre notamment des mesures de sécurité afin d’empêcher les accès non-autorisés et les fuites de données.
Mais ces mesures peuvent être contournées par les custom intents, lorsqu’elles sont mal configurés. Ces bouts de code qui facilitent les communications entre les composantes des applications Android peuvent être accordées des autorisations en rapport avec leur nom ou leur chemin d’accès, pour passer outre la sécurité du fournisseur de contenu d’Android.
Ainsi, les applications malveillantes peuvent envoyer un fichier avec un chemin d’accès modifié à une autre application en utilisant une custom intent. L’application cible est amenée à faire confiance au nom du fichier ou à son chemin d’accès. Elle exécute ou stocke alors le fichier, potentiellement la charge utile d’un malware comme Brokewell, qui vole vos identifiants bancaires.
Des applications installées 4 milliards de fois sont menacées
Dimitrios Valsamaras, chercheur chez Microsoft, note que les implémentations incorrectes du fournisseur de contenu sont particulièrement nombreuses. La faille touche ainsi des applications très populaires, installées “plus de quatre milliards de fois“. Le potentiel pour les cybercriminels est énorme.
À lire > Android : ce malware est capable de vider votre compte bancaire à distance
Parmi les applications les plus populaires citées dans le rapport de Microsoft :
- L’application File Manager de Xiaomi (un milliard de téléchargements)
- WPS Office (500 millions de téléchargements)
Heureusement Xiaomi et Kingsoft ont été informés de la vulnérabilité en amont de la publication du rapport des chercheurs en cybersécurité. Les deux entreprises ont depuis déployé des correctifs de leurs applications en collaboration avec Microsoft, permettant d’atténuer les risques posés par Dirty Stream.
Les découvertes de Microsoft ont été partagées à la communauté des développeurs Android via un article sur le site dédié. Google de son côté a mis à jour son guide sur la sécurité des applications, pour éviter les mauvaises pratiques en matière d’implémentation du fournisseur de contenu Android.
- Une nouvelle faille découverte dans Android nommée Dirty Stream menace la sécurité de milliards de smartphones.
- La vulnérabilité a pour origine la mauvaise implémentation du fournisseur de contenu d’Android dans les applications.
- Les développeurs déploient des mises à jour pour éviter l’exploitation de la faille par des malwares.
