Une liste de 13 applications Android disponibles sur le Google Play Store souffrent d’une grave faille de sécurité. Malgré le patch déployé par Google en avril, certaines applis sont toujours vulnérables. En exploitant la brèche, des hackers peuvent effectuer plusieurs actions malveillantes :
- Injection du code dans les applications bancaires pour récupérer les informations d'identification, tout en ayant les autorisations SMS pour voler les codes d'authentification à deux facteurs (2FA).
- Injection du code dans les applications d'entreprise pour accéder aux ressources de l'entreprise.
- Injection du code dans les applications de médias sociaux pour espionner la victime et utilisation de l'accès à la localisation pour suivre l'appareil.
- Injection du code dans les applications de messagerie instantanée pour récupérer tous les messages et éventuellement envoyer des messages au nom de la victime.
En avril dernier, les ingénieurs de la firme de Mountain View ont corrigé la brèche. De nombreuses applications du Play Store s’appuient sur le Google Play Core Library. C’est notamment le cas de Google Chrome, Facebook, Instagram, WhatsApp, SnapChat, Booking et Microsoft Edge. Google a demandé aux développeurs des applications concernées d’ajouter le patch à leur code. Concrètement, chaque développeur doit récupérer la dernière version de la bibliothèque et l’insérer dans l’application. La plupart des développeurs ont rapidement obtempéré.
D’après une enquête réalisée par Checkpoint, toutes les applications du Play Store n’ont pas encore été mises à jour avec le patch. En septembre dernier, 8% des applications qui utilisent le Play Core Library s’appuyaient encore sur une version défaillante, mettant en grand danger leurs utilisateurs. Certaines des applications ont été téléchargées par 100 millions d’internautes. Au total, elles cumulent 250 millions de téléchargements. Voici la liste mises en ligne par Checkpoint :
- Aloha
- Walla! Sports
- XRecorder
- Moovit
- Hamal
- IndiaMART
- Edge
- Grindr
- Yango Pro (Taximeter)
- OkCupid
- PowerDirector
- Teams
- Bumble
CheckPoint a contacté les développeurs des applications concernées pour leur demander de mettre à jour le Google Play Core Library avec le patch d’avril 2020. Des applications comme Booking et Viber ont rapidement corrigé le tir. D’après les chercheurs de CheckPoint, la faille de sécurité permet facilement à un pirate de récupérer les données d’un smartphone grâce un malware espion. Une fois installé, le virus est en effet capable de siphonner les données l’insu des victimes, ainsi que de s'emparer des cookies du navigateur web, tout simplement en exploitant la faille.
Source : Phonandroid
