« Je peux m'emparer de votre mobile sous Android », affirme un ancien de la NSA

Qui exploite la gestion du NFC dans l'OS

En collaboration avec Gordon Fowler

Edit de 17h30 : ajout de précisions sur la méthode d'infection liée à une faille du navigateur

La célèbre conférence de hacking du Black Hat, a été particulièrement remplie du côté de la plateforme Android, avec des attaques.

Certains experts en sécurité, à l'image de Sean Shulte de Trustwave's SpiderLabs, confirment que « Google a fait des progrès mais les créateurs de logiciels malicieux avancent à grand pas ». Et le nombre de failles mises à jour augmente avec la popularité grandissante de l’OS qui attire de plus en plus les regards des hackers qu’ils soient « White Hat » ou « Black Hat ».

Côté « White Hat », la plus remarquable des attaques a été présentée par Charlie Miller, chercheur chez Accuvant, et ancien analyste technique à la NSA (National Security Agency), où il a servi pendant 5 ans.

« Je peux m'emparer de votre mobile », lance Charlie Miller, un brin provocateur. Son attaque exploite le NFC (Near Field Communication), un dispositif qui permet l'échange de photos, des données ou le paiement par exemple, en rapprochant le mobile à quelques centimètres d’un autre dispositif NFC (un autre mobile, terminal de paiement équipé d’une puce appropriée, etc.).

Le problème pour Android réside dans le fait que le mobile lance une action qui utilise communication NFC sans demander la permission à l'utilisateur. Une anomalie que Charlie Miller a utilisé en créant un dispositif de la taille d'un timbre-poste, qui peut donc être caché dans des endroits insoupçonnés. Dès qu'un Smartphone Android passe à proximité de cette « planque », il s'infecte automatiquement.

Ici, la technique consiste à fournir une URL par NFC, le navigateur d'Android s'ouvre alors et affiche une page qui exploite une faille mise à jour en février par la société CrowdStrike, corrigée depuis par Google mais dont le patch n'a pas encore été appliquée et livré par tous les opérateurs.

L'auteur a communiqué ses recherches à Google qui a confirmé les avoir reçues.

Google a bien conscience de l’importance de la sécurité. Les applications professionnelles – via la consumérisation de l’IT et le Bring Your Own Device – sont l’avenir de sa plateforme.

Selon Marc Maiffret, directeur technique de l'entreprise BeyondTrust, spécialiste sur le sujet : « Google a ajouté des fonctionnalités de sécurité très importantes ». Problème, d’après lui « personne ne les utilise ». En cause, des mises à jour distribuées trop lentement par tous les acteurs qui constituent la chaîne entre Google et l’utilisateur.

« En étant optimiste, Google peut résoudre ces problèmes de sécurité très rapidement », explique pour sa part Nicholas Peroco, vice président de Trustwave's SpiderLabs, à l’agence Reuters. « Mais, pour l'instant, Android c'est le Far West sauvage ».

En attendant la mise à jour de Google – et son déploiement effectif par les opérateurs – le mieux pour contrer l’attaque de Charlie Miller est donc de prudemment désactiver le NFC. Ce qui - objectivement - ne devrait pas trop porter préjudices aux utilisateurs vu l’utilisation de cette technologie, certes en plein devenir, mais encore (très ?) confidentielle.

Source