Un simple SMS peut pirater des smartphones Android

Une nouvelle faille a été découverte par une entreprise se spécialisant dans la sécurité des mobiles : Zimperium. Cette faille exploite « Stagefright », une fonctionnalité Android afin de faire entrer subtilement un malware grâce à un MMS.

Comme fonctionne cette faille ?

Dans les terminaux Android, il existe une fonctionnalité baptisée « Stagefright ». Elle permet de précharger certains éléments (notamment les vidéos reçues à travers des messages, comme les MMS), afin de gagner du temps. La faille exploite justement cette fonctionnalité.

Cheval de Troie via MMS

Ainsi, un hackeur peut intégrer un malware dans une vidéo qui sera envoyée par MMS. Le code du malware sera exécuté automatiquement avant même que la notification d’un nouveau message soit signalée. Si l’utilisateur utilise la messagerie de Google, Hangouts, le téléphone est déjà compromis. En revanche, un peu de répit est accordé à l’utilisateur s’il utilise la messagerie par défaut du constructeur.

Cette faille au final ne requiert qu’un numéro de téléphone. Après avoir récolté des numéros de téléphone, il sera possible à des hackeurs d’aller beaucoup plus loin grâce à un MMS contenant le malware. Une fois ce cheval de Troie présent dans le terminal, les hackeurs n’ont plus qu’à faire ce qu’ils souhaitent des données : les dupliquer, modifier ou les effacer.

Une protection contre cette faille « stagefright » ?

Point positif, un correctif a été mis au point et transmis à Google par Zimperium. Le géant a déjà pris cela en considération et transmis l’information à ses partenaires. Malheureusement, il existe aussi un point négatif. En effet, malgré l’existence du correctif, la diffusion d’une mise à jour incluant le patch ne dépend pas de Google, mais bien de l’ensemble des constructeurs employant Android pour leurs smartphones.

La décision revient aux constructeurs et non à Google

Les terminaux sous Android restent dépendants des décisions de chaque constructeur lorsqu’il s’agit des mises à jour et des correctifs. Google aura beau proposer de nouvelles versions et des updates, c’est aux constructeurs de diffuser les mises à jour (en fonction des terminaux et opérateurs). Dans le cas de ce bug, la problématique reste la même.