Android a un énorme bogue de sécurité dans un composant appelé «Stagefright». La simple réception d’un message MMS malveillant peut entraîner la compromission de votre téléphone. Il est surprenant que nous n’ayons pas vu un ver se propager d’un téléphone à l’autre comme les vers le faisaient au début de Windows XP – tous les ingrédients sont ici.
C’est en fait un peu pire qu’il n’y paraît. Les médias se sont largement concentrés sur la méthode d’attaque MMS, mais même les vidéos MP4 intégrées dans des pages Web ou des applications pourraient compromettre votre téléphone ou votre tablette.
Pourquoi la faille Stagefright est dangereuse – Ce n’est pas seulement du MMS
Certains commentateurs ont appelé cette attaque «Stagefright», mais il s’agit en fait d’une attaque sur un composant d’Android nommé Stagefright. Il s’agit d’un composant de lecteur multimédia sous Android. Il a une vulnérabilité qui peut être exploitée – plus dangereusement via un MMS, qui est un message texte avec des composants multimédias intégrés.
De nombreux fabricants de téléphones Android ont imprudemment choisi d’accorder des autorisations système à Stagefright, ce qui est une étape en dessous de l’accès root. L’exploitation de Stagefright permet à un attaquant d’exécuter du code arbitraire avec les autorisations «media» ou «system», selon la configuration de l’appareil. Les autorisations système donneraient à l’attaquant un accès globalement complet à son appareil. Zimperium, l’organisation qui a découvert et signalé le problème, propose plus de détails.
Les applications de messagerie texte Android classiques récupèrent automatiquement les messages MMS entrants. Cela signifie que vous pourriez être compromis simplement par quelqu’un qui vous envoie un message sur le réseau téléphonique. Avec votre téléphone compromis, un ver utilisant cette vulnérabilité pourrait lire vos contacts et envoyer des messages MMS malveillants à vos contacts, se propageant comme une traînée de poudre comme le virus Melissa l’a fait en 1999 à l’aide d’Outlook et de contacts de messagerie.
Les premiers rapports se sont concentrés sur le MMS car c’était le vecteur le plus potentiellement dangereux dont Stagefright pouvait tirer parti. Mais ce n’est pas que du MMS. Comme Trend Micro a souligné, cette vulnérabilité se trouve dans le composant «mediaserver» et un fichier MP4 malveillant intégré à une page Web pourrait l’exploiter – oui, simplement en accédant à une page Web dans votre navigateur Web. Un fichier MP4 intégré dans une application qui souhaite exploiter votre appareil pourrait faire de même.
Votre smartphone ou tablette est-il vulnérable?
Votre appareil Android est probablement vulnérable. Quatre-vingt-quinze pour cent des appareils Android dans la nature sont vulnérables à Stagefright.
Pour vérifier avec certitude, installez le Application Stagefright Detector depuis Google Play. Cette application a été créée par Zimperium, qui a découvert et signalé la vulnérabilité Stagefright. Il vérifiera votre appareil et vous dira si Stagefright a été corrigé sur votre téléphone Android ou non.
Comment prévenir les attaques Stagefright si vous êtes vulnérable
Pour autant que nous le sachions, les applications antivirus Android ne vous sauveront pas des attaques Stagefright. Ils ne disposent pas nécessairement des autorisations système suffisantes pour intercepter les messages MMS et interférer avec les composants du système. Google ne peut pas non plus mettre à jour le composant des services Google Play dans Android pour corriger ce bogue, une solution de patchwork que Google utilise souvent lorsque des failles de sécurité apparaissent.
Pour vraiment éviter d’être compromis, vous devez empêcher l’application de messagerie de votre choix de télécharger et de lancer des messages MMS. En général, cela signifie désactiver le paramètre «Récupération automatique des MMS» dans ses paramètres. Lorsque vous recevez un message MMS, il ne se télécharge pas automatiquement – vous devrez le télécharger en appuyant sur un espace réservé ou quelque chose de similaire. Vous ne courrez aucun risque à moins que vous choisissiez de télécharger le MMS.
Tu ne devrais pas faire ça. Si le MMS provient de quelqu’un que vous ne connaissez pas, ignorez-le définitivement. Si le MMS provient d’un ami, il est possible que son téléphone ait été compromis si un ver commence à décoller. Il est plus sûr de ne jamais télécharger de messages MMS si votre téléphone est vulnérable.
Pour désactiver la récupération automatique des messages MMS, suivez les étapes appropriées pour votre application de messagerie.
- Messagerie (intégré à Android): ouvrez Messagerie, appuyez sur le bouton de menu et appuyez sur Paramètres. Faites défiler jusqu’à la section «Messages multimédias (MMS)» et décochez «Récupération automatique».
- Messager (par Google): ouvrez Messenger, appuyez sur le menu, appuyez sur Paramètres, appuyez sur Avancé et désactivez «Récupération automatique».
- Hangouts (par Google): ouvrez Hangouts, appuyez sur le menu et accédez à Paramètres> SMS. Décochez «Récupérer automatiquement les SMS» sous Avancé. (Si vous ne voyez pas les options SMS ici, c’est que votre téléphone n’utilise pas Hangouts pour SMS. Désactivez le paramètre dans l’application SMS que vous utilisez à la place.)
- messages (par Samsung): ouvrez Messages et accédez à Plus> Paramètres> Plus de paramètres. Appuyez sur Messages multimédias et désactivez l’option «Récupération automatique». Ce paramètre peut être à un endroit différent sur différents appareils Samsung, qui utilisent différentes versions de l’application Messages.
Il est impossible de construire une liste complète ici. Ouvrez simplement l’application que vous utilisez pour envoyer des messages SMS (messages texte) et recherchez une option qui désactivera la «récupération automatique» ou le «téléchargement automatique» des messages MMS.
Avertissement: Si vous choisissez de télécharger un message MMS, vous êtes toujours vulnérable. Et, comme la vulnérabilité Stagefright n’est pas seulement un problème de message MMS, cela ne vous protégera pas complètement contre tous les types d’attaques.
Quand votre téléphone reçoit-il un correctif?
Plutôt que d’essayer de contourner le bogue, il serait préférable que votre téléphone reçoive juste une mise à jour qui le corrige. Malheureusement, la situation de mise à jour Android est actuellement un cauchemar. Si vous avez un téléphone phare récent, vous pouvez probablement vous attendre à une mise à niveau à un moment donné – espérons-le. Si vous avez un téléphone plus ancien, en particulier un téléphone bas de gamme, il y a de fortes chances que vous ne receviez jamais de mise à jour.
- Appareils Nexus: Google a maintenant publié des mises à jour pour les Nexus 4, Nexus 5, Nexus 6, Nexus 7 (2013), Nexus 9 et Nexus 10. Le Nexus 7 (2012) d’origine n’est apparemment plus pris en charge et ne sera pas corrigé
- Samsung: Sprint a commencé à publier des mises à jour pour les Galaxy S5, S6, S6 Edge et Note Edge. On ne sait pas quand d’autres opérateurs publient ces mises à jour.
Google aussi a dit à Ars Technica que « les appareils Android les plus populaires » recevraient la mise à jour en août, notamment:
- Samsung: Les Galaxy S3, S4 et Note 4, en plus des téléphones ci-dessus.
- HTC: Les One M7, One M8 et One M9.
- LG: Les G2, G3 et G4.
- Sony: Les Xperia Z2, Z3, Z4 et Z3 Compact.
- Android One appareils pris en charge par Google
Motorola a également annoncé qu’il mettrait à jour ses téléphones avec des mises à jour à partir d’août, y compris le Moto X (1ère et 2ème génération), Moto X Pro, Moto Maxx / Turbo, Moto G (1ère, 2ème et 3ème génération), Moto G avec 4G LTE (1ère et 2ème génération), Moto E (1ère et 2ème génération), Moto E avec 4G LTE (2ème génération), DROID Turbo et DROID Ultra / Mini / Maxx.
Google Nexus, Samsung et LG se sont tous engagés à mettre à jour leurs téléphones avec des mises à jour de sécurité une fois par mois. Cependant, cette promesse ne s’applique vraiment qu’aux téléphones phares et nécessiterait la coopération des opérateurs. On ne sait pas comment cela fonctionnerait. Les opérateurs pourraient potentiellement faire obstacle à ces mises à jour, ce qui laisse encore un grand nombre – des milliers de modèles différents – de téléphones en cours d’utilisation sans la mise à jour.
Ou, installez simplement CyanogenMod
CyanogenMod est une ROM personnalisée tierce d’Android souvent utilisée par les passionnés. Il apporte une version actuelle d’Android aux appareils que les fabricants ont cessé de prendre en charge. Ce n’est pas vraiment la solution idéale pour la personne moyenne car elle nécessite de déverrouiller le chargeur de démarrage de votre téléphone. Mais, si votre téléphone est pris en charge, vous pouvez utiliser cette astuce pour obtenir une version actuelle d’Android avec les mises à jour de sécurité actuelles. Ce n’est pas une mauvaise idée d’installer CyanogenMod si votre téléphone n’est plus pris en charge par son fabricant.
CyanogenMod a corrigé la vulnérabilité Stagefright dans les versions nocturnes, et le correctif devrait bientôt arriver à la version stable via une mise à jour OTA.
Android a un problème: la plupart des appareils ne reçoivent pas de mises à jour de sécurité
Ce n’est malheureusement qu’une des nombreuses failles de sécurité créées par les anciens appareils Android. C’est juste un problème particulièrement mauvais qui retient davantage l’attention. La majorité des appareils Android – tous les appareils exécutant Android 4.3 ou version antérieure – ont un composant de navigateur Web vulnérable, par exemple. Cela ne sera jamais corrigé à moins que les appareils ne passent à une version plus récente d’Android. Vous pouvez vous protéger contre cela en exécutant Chrome ou Firefox, mais ce navigateur vulnérable restera à jamais sur ces appareils jusqu’à ce qu’ils soient remplacés. Les fabricants ne sont pas intéressés à les maintenir à jour et à jour, c’est pourquoi tant de gens se sont tournés vers CyanogenMod.
Google, les fabricants d’appareils Android et les opérateurs de téléphonie mobile doivent mettre de l’ordre dans leurs actes, car la méthode actuelle de mise à jour – ou plutôt de non mise à jour – des appareils Android conduit à un écosystème Android avec des appareils qui creusent des trous au fil du temps. C’est pourquoi les iPhones sont plus sécurisés que les téléphones Android – les iPhones reçoivent en fait des mises à jour de sécurité. Apple s’est engagé à mettre à jour les iPhones plus longtemps que Google (téléphones Nexus uniquement), Samsung et LG s’engagent également à mettre à niveau leurs téléphones.
Vous avez probablement entendu dire qu’utiliser Windows XP est dangereux car il n’est plus mis à jour. XP continuera à créer des failles de sécurité au fil du temps et deviendra de plus en plus vulnérable. Eh bien, l’utilisation de la plupart des téléphones Android est la même chose – ils ne reçoivent pas non plus de mises à jour de sécurité.
Certaines mesures d’atténuation des exploits pourraient aider à empêcher un ver Stagefright de s’emparer de millions de téléphones Android. Google soutient que l’ASLR et d’autres protections sur les versions plus récentes d’Android aident à empêcher Stagefright d’être attaqué, et cela semble être partiellement vrai.
Certains opérateurs de téléphonie mobile semblent également bloquer les messages MMS potentiellement malveillants de leur côté, les empêchant d’atteindre les téléphones vulnérables. Cela aiderait à empêcher un ver de se propager via des messages MMS, au moins sur les opérateurs qui agissent.
Crédit d’image: Matteo Doni sur Flickr
