Sécurité IT : HTC ne caresse pas l’Android dans le Sense du poil
Un chercheur a révélé une mauvaise surprise lors de la mise à jour de la surcouche de la technologie Sense pour certains modèles de smartphones HTC sous Android : une application collecte les données privées de l’utilisateur.
Une faille de sécurité importante, mettant en danger les données privées des utilisateurs de plusieurs modèles de smartphones HTC, a été dévoilée le 28 septembre par le chercheur en sécurité Trevor Eckhart et relayée par Gizmodo.
Il a approfondi son analyse avec Artem Russakovskii et Justin Case du site Android Police.
La faille concerne une application de collecte des données privées que HTC a ajoutée à sa surcouche Sense pour Android lors de sa dernière mise à jour.
Les modèles concernés incluent au moins les Evo 3D, Evo 4G et Thunderbolt.
Nommée HtcLoggers.apk, elle permettrait à un pirate de récupérer un très grand nombre de données personnelles.
Si l’utilisateur peut lui interdire de se connecter à Internet lors du premier démarrage, elle continuera tout de même en tache de fond à collecter des données.
Elle aspire les comptes utilisateurs (incluant adresse mail et statut de synchronisation), numéros de téléphones appelés, dernières localisations GPS, toutes les données SMS, ainsi que toutes les informations utilisées et créées par vos autres applications.
L’application enregistre aussi toutes les spécifications techniques du téléphone.
Selon les chercheurs, le pire n’est même pas qu’HTC espionne ainsi les données privées de ses utilisateurs.
L’application ne protège pas les informations collectées, et les archive dans un fichier ouvert accessible à toute autre application installée.
Une app malveillante peut donc aspirer ces données et les communiquer à un pirate, avec pour seule autorisation nécessaire la connexion à Internet (la plus commune).
Parmi la multitude de risques provoqués par cette faille, Artem Russakovskii note « qu’en théorie, il est possible de cloner un téléphone avec seulement une partie des données fuitées ici« .
Outre utiliser les crédits de la victimes, un clone de ce type peut intercepter les appels et les SMS/MMS envoyés au téléphone de la cible, ou se faire passer pour elle lors d’un appel.
La seule façon de se protéger de la faille pour l’instant est d’avoir un téléphone « rooté » (l’équivalent du Jailbreak pour les iPhone) et de supprimer le fichier HtcLoggers.apk.
Les chercheurs ont créé une application « proof of concept » démontrant la faille :
Logo : © Beboy – Fotolia.com