Plus d’un milliard d’appareils Android risquent le vol de données

Un milliard ou De plus en plus d’appareils Android sont vulnérables aux piratages qui peuvent les transformer en outils d’espionnage en exploitant plus de 400 vulnérabilités dans la puce Snapdragon de Qualcomm, ont rapporté les chercheurs cette semaine.

Les vulnérabilités peuvent être exploitées lorsqu’une cible télécharge une vidéo ou un autre contenu rendu par la puce. Les cibles peuvent également être attaquées en installant des applications malveillantes qui ne nécessitent aucune autorisation.

À partir de là, les attaquants peuvent surveiller les emplacements et écouter l’audio à proximité en temps réel et exfiltrer des photos et des vidéos. Les exploits permettent également de rendre le téléphone complètement insensible. Les infections peuvent être masquées du système d’exploitation d’une manière qui rend la désinfection difficile.

Snapdragon est ce que l’on appelle un système sur une puce qui fournit une multitude de composants, tels qu’un processeur et un processeur graphique. L’une des fonctions, connue sous le nom de traitement du signal numérique, ou DSP, s’attaque à une variété de tâches, y compris les capacités de charge et les fonctions vidéo, audio, réalité augmentée et autres fonctions multimédias. Les fabricants de téléphones peuvent également utiliser des DSP pour exécuter des applications dédiées qui permettent des fonctionnalités personnalisées.

«Alors que les puces DSP fournissent une solution relativement économique qui permet aux téléphones mobiles de fournir aux utilisateurs finaux plus de fonctionnalités et d’activer des fonctionnalités innovantes, elles ont un coût», ont écrit les chercheurs de la société de sécurité Check Point dans un bref rapport des vulnérabilités ils ont découvert. «Ces puces introduisent une nouvelle surface d’attaque et des points faibles sur ces appareils mobiles. Les puces DSP sont beaucoup plus vulnérables aux risques car elles sont gérées comme des «boîtes noires» car il peut être très complexe pour quiconque autre que leur fabricant de revoir leur conception, leurs fonctionnalités ou leur code.  »

Qualcomm a publié un correctif pour les failles, mais jusqu’à présent, il n’a pas été intégré au système d’exploitation Android ou à tout appareil Android utilisant Snapdragon, a déclaré Check Point. Quand j’ai demandé quand Google pourrait ajouter les correctifs Qualcomm, un porte-parole de l’entreprise a dit de vérifier auprès de Qualcomm. Le fabricant de puces n’a pas répondu à un e-mail de demande.

Check Point retient des détails techniques sur les vulnérabilités et sur la manière dont elles peuvent être exploitées jusqu’à ce que des correctifs parviennent aux appareils des utilisateurs finaux. Check Point a surnommé les vulnérabilités Achilles. Les plus de 400 bogues distincts sont suivis comme CVE-2020-11201, CVE-2020-11202, CVE-2020-11206, CVE-2020-11207, CVE-2020-11208 et CVE-2020-11209.

Dans un communiqué, les responsables de Qualcomm ont déclaré: «En ce qui concerne la vulnérabilité Qualcomm Compute DSP révélée par Check Point, nous avons travaillé avec diligence pour valider le problème et mettre les mesures d’atténuation appropriées à la disposition des OEM. Nous n’avons aucune preuve qu’il soit actuellement exploité. Nous encourageons les utilisateurs finaux à mettre à jour leurs appareils au fur et à mesure que les correctifs sont disponibles et à n’installer les applications qu’à partir d’emplacements de confiance tels que le Google Play Store.  »

Check Point a déclaré que Snapdragon est inclus dans environ 40% des téléphones dans le monde. Avec environ 3 milliards d’appareils Android, cela représente plus d’un milliard de téléphones. Sur le marché américain, les Snapdragons sont intégrés dans environ 90% des appareils.

Il n’y a pas beaucoup de conseils utiles à fournir aux utilisateurs pour se protéger contre ces exploits. Le téléchargement d’applications uniquement à partir de Play peut aider, mais les antécédents de Google en matière de vérification des applications montrent que les conseils ont une efficacité limitée. Il n’ya pas non plus de moyen d’identifier efficacement le contenu multimédia piégé.