Dans le cadre d’une importante fuite de sécurité, les certificats de plusieurs équipementiers Android ont été exposés récemment. Cette faille de sécurité a rendu des millions d’appareils Android dans le monde vulnérables aux logiciels malveillants.
Une fuite de sécurité à grande échelle a poussé les chercheurs en sécurité à tirer la sonnette d’alarme sur l’apparition d’applications malveillantes pouvant accéder à des systèmes d’exploitation entiers appartenant à Android. La fuite a été signalée par Łukasz Siewierski, un employé de Google et ingénieur spécialisé dans les logiciels malveillants.
L’équipe de sécurité Android de Google a découvert que plusieurs équipementiers Android, notamment Samsung, LG et MediaTek, ont vu leurs clés de signature d’applications cryptographiques être dévoilées, laissant ainsi les pirates déployer facilement des applications malveillantes sur les smartphones.
LES CERTIFICATS DE SIGNATURE POUR LES APPLICATIONS, C’EST QUOI ?
Un aspect crucial de la sécurité des smartphones Android est le processus de signature des applications. Il s’agit essentiellement d’un moyen de garantir que les mises à jour des applications proviennent du développeur d’origine, car la clé utilisée pour signer les applications doit toujours rester privée.
Les applications signées avec ce certificat fonctionnent avec un identifiant d’utilisateur hautement privilégié, Android.uid.system. Ce dernier détient des autorisations système, y compris des autorisations d’accès aux données utilisateur. Toute autre application signée avec le même certificat peut déclarer qu’elle veut s’exécuter avec le même identifiant utilisateur, ce qui lui donne le même niveau d’accès au système d’exploitation Android.
Le problème, c’est qu’un certain nombre de ces certificats de plateforme de Samsung, MediaTek, LG et Revoview semblent avoir fait l’objet de fuites et, pire encore, avoir été utilisés pour signer des logiciels malveillants.
Pour faire simple, un attaquant disposant de la clé privée peut ajouter des logiciels malveillants aux applications de confiance. Puisque la version malveillante de l’application utilise la même clé à laquelle la sécurité d’Android fait confiance, la mise à jour de l’application sera effectuée, quelle que soit l’origine de l’application.
LES PIRATES ONT PU DÉPLOYER DES MALWARES SUR LES SMARTPHONES ANDROID
Pour aggraver les choses, les équipementiers concernés n’ont pas retiré les clés compromises et ne les ont remplacées par de nouvelles. Au contraire, ils ont continué à les utiliser. De son côté, Samsung a même récemment publié des mises à jour d’applications avec la même clé. Pourtant, le problème a été repéré pour la première fois par Google en mai 2022.
Cela veut dire que les pirates ont potentiellement pu injecter des malwares dans les applications officielles de Samsung. Les logiciels malveillants auraient pu apparaître comme une mise à jour, auraient passé tous les contrôles de sécurité lors de l’installation et auraient donné au logiciel malveillant un accès presque total à vos données utilisateur dans d’autres applications.
Google a assuré que les téléphones Android sont sécurisés de plusieurs manières, notamment par le biais de Google Play Protect, des mesures d’atténuation des OEM, etc. Les applications résidant dans le Play Store sont également sûres, apparemment. « Les partenaires OEM ont rapidement mis en œuvre des mesures d’atténuation dès que nous avons signalé la compromission de la clé. Les utilisateurs finaux seront protégés par les mesures d’atténuation mises en place par les partenaires OEM », a déclaré un porte-parole de la société.
Le géant de la technologie a vivement conseillé aux entreprises touchées de « faire tourner le certificat de la plateforme en le remplaçant par un nouvel ensemble de clés publiques et privées ». « En outre, ils doivent mener une enquête interne pour trouver la cause profonde du problème et prendre des mesures pour éviter que l’incident ne se reproduise à l’avenir », a ajouté la société. On s’attend donc à ce que LG, MediaTek, mais aussi Samsung mettent rapidement à jour leurs certificats pour protéger leurs utilisateurs de pirates malintentionnés.
