Check Point : il y a un défaut de sécurité dans 900 M de téléphones et de tablettes

Près d’un milliard de téléphones et de tablettes Android sont vulnérables aux logiciels malveillants qui pourraient permettre à des pirates d’obtenir «  le contrôle complet des appareils et d’accéder aux données sensibles personnelles et des entreprises », selon le cabinet spécialisé en cybersécurité, Check Point.

Ces piratages sont possible en raison d’une série de quatre vulnérabilités – surnommées QuadRooter – affectant les appareils Android construits avec les chipsets Qualcomm, que l’on retrouve dans près de deux tiers des appareils mobiles.

« Si l’une des quatre vulnérabilités est exploitée, un pirate peut déclencher des escalades de privilèges et obtenir un accès root de l’appareil », a déclaré l’équipe de recherche de Check Point qui a découvert le problème.

Recevez gratuitement notre édition quotidienne par mail pour ne rien manquer du meilleur de l’info Inscription gratuite !

Contrairement à la plupart des logiciels malveillants, qui peuvent être retirés ou au moins détectés par les logiciels antivirus, il y a peu de choses que les utilisateurs puissent faire, sauf attendre que Qualcomm publie des correctifs pour résoudre le problème, selon Check Point.

Les vulnérabilités se trouvent dans les pilotes logiciels du chipset – les programmes du système de base qui permettent d’utiliser les chipsets – qui contrôlent la communication entre les composants du chipset.

En tant que tel, la vulnérabilité se situe au niveau du matériel, intégré à l’appareil en lui-même – et accessible uniquement par le biais des logiciels qui mettent à jour les pilotes. « Pré-installé sur les appareils au point de fabrication, ces pilotes vulnérables ne peuvent être réparés que par l’installation d’un patch publié par le distributeur ou le transporteur. Les distributeurs et les transporteurs ne peuvent publier des correctifs qu’après avoir reçu des packs pilotes réparés de Qualcomm », selon Check Point.

Avec 900 millions d’appareils affectés par ce problème, il n’y a pas de téléphone ou de marque « sûr » ; la liste des appareils concernés comprend certains des modèles les plus populaires de Samsung, HTC, Motorola, LG et plus encore. Parmi les nombreux modèles concernés, on retrouve le LG G4, G5 et V10 ; le Samsung Galaxy S7 et S7 Edge ; Sony Xperia Z Ultra ; Google Nexus 5X, 6 et 6P ; et un OnePlus, 2 et 3.

les appareils Android sont, bien sûr, la réponse de l’industrie des appareils Ios d’Apple. Le système d’exploitation Android est le système par défaut pour les fabricants d’appareils qui ne sont pas iPhones. De nombreux iPhones et iPads contiennent des chipsets Qualcomm également mais comme le système d’exploitation gère les communications et les logiciels différemment, les appareils Apple ne sont pas vulnérables aux pirates.

Android propose une grande tente technologique, en invitant les fabricants, petits et grands, à construire leurs appareils autour de ce système d’exploitation, ce qui permet aux programmeurs une grande liberté dans la conception de l’application (contrairement à Apple, qui place de nombreuses restrictions de sécurité et de fonction aux programmeurs).

Mais selon Check Point, l’ouverture d’Android, généralement considéré comme sa force, est en fait sa plus grande faiblesse. « Une myriade de modèles de périphériques, de versions du système d’exploitation et des modifications du logiciel unique font que gérer les vulnérabilités d’Android deviennent un défi », selon l’équipe Check Point.

« Plus ces vulnérabilités naissent tôt dans la chaîne de production, plus elles sont difficiles à réparer. Le monde fragmenté d’Android laisse de nombreux utilisateurs exposés au risque, même avec des appareils différents ».

Selon Google, qui développe le système d’exploitation Android, trois des quatre vulnérabilités ont été patchées ; un patch pour empêcher les pirates d’exploiter la quatrième vulnérabilité ne sera pas disponible avant septembre. Jusque-là, a précisé Check Point, les utilisateurs devront être très prudents – et installer uniquement des applications bien connues, « lire attentivement les demandes d’autorisation lors de l’installation des applications, se méfier des applications qui demandent des autorisations inhabituelles ou inutiles ou qui utilisent de grandes quantités de données ou de la batterie, et n’utiliser que des réseaux Wi-Fi connus et de confiance » – et espérer ne pas être piraté.