Les chercheurs en sécurité de Check Point ont publié un rapport qui met en évidence une faille dans l'architecture de la puce Snapdragon de Qualcomm. Ces puces sont utilisées dans presque tous les principaux produits phares d'Android, y compris les modèles de Google , Samsung, OnePlus et LG.
Selon les chercheurs, plus de 400 failles ont été trouvées dans le code des puces du processeur de signal numérique (DSP) de Qualcomm. Ces systèmes sur puce (SoC) contrôlent tout, des commandes vocales au traitement vidéo et diverses fonctionnalités audio et multimédia.
Ces failles pourraient permettre aux attaquants d'utiliser un appareil pour espionner un utilisateur sans aucune interaction requise. Par exemple, un attaquant pourrait potentiellement accéder à vos photos et vidéos, aux données de localisation GPS et même accéder en temps réel à votre microphone.
De même, ils pourraient installer des logiciels malveillants indétectables ou inamovibles, ce qui rendrait l'appareil complètement insensible ou irrécupérable.
Étant donné que ces vulnérabilités se trouvent dans le code de la puce Qualcomm, il faudra du temps aux fabricants de matériel pour mettre à jour et corriger. En fait, alors que Qualcomm a déjà mis en place un correctif dans les nouvelles puces.
Pour souligner ce point, Yaniv Balmas, responsable de la cyber-recherche chez Check Point, déclare :
Des centaines de millions de téléphones sont exposés à ce risque de sécurité. Vous pouvez être espionné. Vous pouvez perdre toutes vos données... Heureusement, cette fois, nous avons pu repérer ces problèmes. Mais, nous supposons qu'il faudra des mois voire des années pour l'atténuer complètement. Si de telles vulnérabilités sont découvertes et utilisées par des acteurs malveillants, des millions d'utilisateurs de téléphones portables n'auront pratiquement aucun moyen de se protéger pendant très longtemps.
En conséquence, bien que la société de recherche ait fourni ses conclusions à Qualcomm, elle ne publie pas les spécifications exactes de l'exploit afin d'éviter qu'il ne tombe entre les mains de mauvais acteurs avant que les fabricants n'aient la possibilité de mettre en œuvre un correctif.
D'après Check Point, « pour exploiter les vulnérabilités, un pirate informatique devrait simplement persuader la cible d'installer une application simple et bénigne sans aucune autorisation. »
Voici ce que cela signifie pour vous :
Tout d'abord, ne téléchargez ni n'installez aucune application dont vous n'êtes pas sûr qu'elle provienne d'une source fiable. Je ne parle pas de savoir si vous reconnaissez l'application, mais si vous faites confiance à la source. Étant donné que vous pouvez télécharger des applications sur un appareil Android en dehors du Google Play Store officiel, par exemple, soyez intelligent quant à l'endroit où vous téléchargez des applications.
Cela semble probablement relever du bon sens, mais cela ne devrait surprendre personne à ce stade que les pirates informatiques deviennent assez bons pour avoir l'air légitimes. Cela signifie que c'est à vous de faire attention et de vous protéger. En général, si cela semble trop beau pour être vrai, ou si quelque chose ne semble pas tout à fait correct, ce n'est probablement pas le cas. Sinon, vous risquez de payer un prix beaucoup plus élevé en termes de confidentialité.
