IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Le processus de mise à jour Android exploitable par des malwares
Pour l'acquisition de plus de privilèges

Le , par Stéphane le calme

0PARTAGES

1  0 
En règle générale, procéder à une mise à jour de son système d’exploitation mobile s’accompagne de correctifs de sécurités qui viennent combler des failles dans la version précédente. Cependant, des chercheurs ont mis le doigt sur une faille dans le processus de mise à jour d’Android qui pourrait être exploitée par des logiciels malveillants.

Une équipe de chercheurs de l’université d’Indiana en collaboration avec Microsoft a publié un article qui décrit cette nouvelle vulnérabilité Android. Baptisé Pileup (un acronyme pour privilege escalation through updating – escalade de privilège par la mise à jour -), elle permet aux applications malveillantes installées d’accroître leur niveau de permission à l’insu de l’utilisateur une fois Android mis à jour. Cette vulnérabilité est présente dans le PMS (Package Management Service) d’Android.

Les chercheurs rappellent que passés quelques mois, une nouvelle mise à jour système est proposée et qui aurait pour conséquence le remplacement de dizaines de milliers de fichiers sur le système en direct. « Chacune de ces nouvelles applications installées doit être correctement configurée pour définir sa palette d’attributs au sein de ses propres sandbox ainsi que ses privilèges système sans pour autant endommager accidentellement les applications existantes et les données de l'utilisateur qui y sont stockées. L’installation de telles mises à jour complique la logique du programme, le rendant susceptible à des failles critiques de sécurité », notent les chercheurs.

«Au travers de l'application en cours d'exécution sur une version antérieure d'Android, l'adversaire peut stratégiquement demander un ensemble de privilèges soigneusement sélectionnés ou des attributs uniquement disponibles sur la version ultérieure du système d'exploitation. » Le problème est que, pour des raisons de convenance, aucun pop-up n’apparaît au niveau de l’interface utilisateur pour demander les permissions ; elles sont assignées automatiquement en arrière-plan sans que l’utilisateur n’en soit informé.

Les chercheurs ont comptabilisé au total six vulnérabilités Pileup dans le PMS Android et ont confirmé qu’elles sont présentes dans toutes les versions Android Open Source Project ainsi que dans plus de 3 500 versions personnalisées d’Android développées par les constructeurs. Au total, près d’un milliard d’appareils Android serait de potentielles victimes.
Ci-dessous, une sélection de quelques vidéos pour montrer quelles peuvent être les conséquences de l’utilisation d’un exploit Pileup à l’instar d’un piratage de votre compte Google ou même le vol de vos mots de passe sur les sites bancaires.






Les chercheurs en ont profité pour parler de leur outil de détection SecUP qui se chargera de repérer les applications malveillantes installées sur votre mobile qui attendent d’élever leurs privilèges. Par la suite, si le scanner en rencontre une, il vous donnera une série d’instructions pour vous guider dans la désinstallation de l’application pour pouvoir effectuer votre mise à jour en sécurité

Télécharger SecUP sur Google Play

Source : Etude (au format PDF)

Et vous ?

Qu'en pensez-vous ?

Allez-vous essayer SecUP ? Pouvez-vous proposer une alternative ?

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de TiranusKBX
Expert confirmé https://www.developpez.com
Le 25/03/2014 à 7:57
Mince alors on peut même plus avoir confiance en la recopie des données !
ça me fait juste penser que le système est mal foutus sur niveau mise à jour
1  0