La start-up de cybersécurité israélo-américaine Zimperium a dévoilé que près de 95% des téléphones portables fonctionnant sous Android, soit près de 950 millions d’appareils, pouvaient être piratés par les hackers par l’envoi d’un simple message MMS (Multimedia Messaging Service). Selon la firme spécialisée dans la cybersécurité, il n’est même pas nécessaire d’ouvrir le message pour être piraté ; l’utilisateur ne se rendra pas compte qu’il a reçu ce message car les hackers l’envoient puis le suppriment immédiatement. Ce piratage leur permet de récupérer toutes les informations dans le portable, vidéos & photos inclues.
En avril dernier, Zimperium avait découvert que la faille réside dans le module de lecture média d’Android, appelé Stagefright. Cet outil est intégré avec des codes software pour plusieurs formats de médias et agit pour la lecture audio et vidéo, la gestion de sessions, la lecture synchronisée de vidéos, le contrôle d’envoi de morceaux de données, et la gestion des droits numériques (DRM – Digital Rights Management).
Les failles d’Android découvertes par Zimperium sont liées au fait que le module de lecture Stagefright d’Android permet l’exécution à distance de codes, permettant à des hackers mal intentionnés d’infiltrer les appareils et extraire les données privées avec la signature de Stagefright.
Cela inclurait la possibilité d’enregistrer de données audio et vidéo, de fouiller dans les photos enregistrées dans la carte mémoire et même de déclencher des appareils Bluetooth. La seule chose dont les hackers ont besoin pour pirater un appareil Android est le numéro de téléphone de la la personne. Ces failles sont considérées comme les plus importantes jamais découvertes sur Android de Google.
Joshua Drake, Vice-président de Zimperium, avait envoyé à Google les corrections à faire. Google avait immédiatement confirmé leur réception selon Joshua Drake, Vice-président de Zimperium, les a envoyées à ses partenaires, les fabricants de téléphones sous Android (HTC, LG, Motorola, Samsung et Sony). Cependant, ces fabricants n’ont à ce jour pas intégré les modifications dans les téléphones des utilisateurs.
Toutes les failles sont classées avec leur propre code CVE (Common Vulnerabilities and Exposures), utilisés pour les répertorier et les identifier. Cela rend le problème plus urgent parce que les hackers possèdent toutes les informations nécessaires pour exploiter le hack.
Les fabricants et les opérateurs sont fortement encouragés d’envoyer très rapidement les mises à jour à leurs clients pour réparer les problèmes. A ce jour, même Google n’a pas envoyé toutes les mises à jour nécessaires pour ses clients de Nexus.
http://source.android.com/devices/media.html
https://fr.wikipedia.org/wiki/Common_Vulnerabilities_and_Exposures
