Les smartphones Android, frappés par un ver SMS : Faille de sécurité

Deux nouvelles alertes de sécurité ont été publiées récemment pour les smartphones Android. La première concerne un vers baptisé Selfmite qui se propage par SMS. L’utilisateur reçoit un message avec un lien raccourci qui, une fois cliqué, l’incite à installer une appli intitulée « The Self-timer ».

Celle-ci, une fois installée, va siphonner le carnet d’adresses et envoyer des SMS à une vingtaine de contacts. Ensuite, il ouvre le navigateur et incite l’utilisateur à télécharger l’application Mobogenie, une place de marché alternative.

Selon la société Adaptive Mobile, qui a détecté le vers, il est probable qu’un utilisateur d’une plateforme publicitaire ait décidé d’augmenter frauduleusement le nombre d’installations de Mobogenie par un logiciel malveillant. En effet, cette place de marché cherche à se déployer au travers d’un système de rémunération par affiliation. Pour l’instant, le vers sévit principalement en Amérique du Nord.

La seconde alerte vient des experts de sécurité d’IBM qui ont détecté une faille de sécurité dans le service KeyStore d’Android, qui permet de stocker des clés de chiffrement.

En raison d’un dépassement de mémoire tampon (buffre overflow), il est possible d’accéder aux clés stockées et, en particulier, de récupérer le mot de passe qui déverrouille l’appareil. La faille a été corrigée dans la version Android 4.4, mais pas dans les versions précédentes. Ce qui veut dire que plus de 80 % des utilisateurs restent concernés.