Il est possible de prendre en otage des données de certains dispositifs Samsung Galaxy
Uniquement par un SMS et sans intervention de l'utilisateur

Le , par Stéphane le calme, Chroniqueur Actualités
Samsung a corrigé un ensemble de quatre failles de sécurité qui ont affecté certains des dispositifs appartenant à la famille Galaxy. Un attaquant pouvait s’en servir par exemple pour provoquer des boucles infinies de redémarrage du dispositif ou le chiffrement des données sur le dispositif. Ce sont les chercheurs en sécurité mobile de Context Information Security qui ont découvert ces failles. Ces dernières sont exploitables grâce à un ancien protocole WAP, vieux de 17 ans, qui est toujours pris en charge par les smartphones modernes.

Développé en 1999 et utilisé pour permettre aux clients d'accéder à Internet dans les premiers temps des réseaux mobiles, le protocole comprend également diverses autres fonctions, comme la possibilité d'envoyer des fichiers de configuration au téléphone de l'utilisateur sous forme de SMS. Les chercheurs ont découvert que certains smartphones Samsung Galaxy acceptent ces messages de configuration, ignorent l'authentification et appliquent aveuglément les instructions reçues.

Durant les tests en laboratoire, les chercheurs ont utilisé les différents bogues qu'ils ont découverts (CVE-2016-7988, CVE-2016-7989, CVE-2016-7990 et CVE-2016-7991) pour s’attaquer aux paramètres Wi-Fi d'un téléphone, conduisant finalement à un état DoS où le périphérique plante et redémarre dans une boucle sans fin à moins qu'un fichier de configuration spécifique n'ait été retiré du téléphone.


Tout cela a été rendu possible simplement en envoyant un message de configuration WAP via SMS, que le téléphone a lu et exécuté sans intervention de l'utilisateur. Les chercheurs ont réussi à reproduire l'attaque sur les appareils Samsung Galaxy S4, S4 Mini, S5 et Note 4. Les périphériques S6 et S7 étaient vulnérables à ces bogues à condition qu’une application malveillante ait été installée sur le périphérique de l'utilisateur au préalable.

Context IS a également noté que malgré l'âge de certains de ces dispositifs Galaxy, ils restent très populaires vu que beaucoup sont encore en utilisation aujourd'hui.

Selon l'équipe de recherche, il ne s’agit là que d’un des potentiels scénarios d'attaque étant donné que les bogues WAP pourraient être exploités pour des attaques plus destructrices et néfastes. « La complexité de l'exploitation d'un appareil Android ces dernières années a augmenté au point où, la plupart du temps, une chaîne de bogues est nécessaire pour obtenir l'effet désiré. Ce cas n'est pas différent et nous avons montré ici qu'il a fallu deux bogues pour produire un vecteur d'attaque viable, combiné avec une connaissance approfondie du format de message sur mesure.

Si vous avez un périphérique rooté, vous pouvez vous protéger de cette attaque en passant par adb pour supprimer le fichier default_ap.conf. Si votre périphérique n’est pas rooté, il y a deux solutions : réinitialiser votre téléphone (ce qui va entraîner la perte de vos données) ou espérer que l'attaquant ait la bonté de vous envoyer un autre message OMA CP contenant une configuration valide », ont avancé Tom Court et Neil Biggs, les deux chercheurs de Context IS derrière cette découverte.

Et de continuer en disant que « compte tenu de la nature réversible de cette attaque (un second SMS pourrait être envoyé pour restaurer l'appareil), il ne faut pas beaucoup d'imagination pour concevoir un scénario mettant en scène des ransomware via ces bogues ».

En outre, ce scénario d'attaque WAP pourrait être facilement porté pour cibler d'autres modèles de périphériques de différents constructeurs de smartphones, il ne saurait donc se limiter à la seule famille Galaxy de Samsung.

En novembre 2016, Samsung a publié une mise à jour de sécurité pour colmater cette faille et empêcher cette attaque.

Source : Context IS


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :
Offres d'emploi IT
Développeur Full JS (NodeJS/Angular4) Aixois et Startuper 
Bluecoders - Provence Alpes Côte d'Azur - Aix en Provence
Développement d'un Logiciel de commande vocal du clavier active pour toutes applications
Laucher vocal game tmig-0r386 - Provence Alpes Côte d'Azur - marseille
Tech Lead PHP H/F Montpellier
Smile - Languedoc Roussillon - Montpellier (34000)

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil