Des chercheurs chinois ont découvert des vulnérabilités dans le fonctionnement du Bluetooth sur les téléphones équipés d’Android, et qui permettent de voler des informations confidentielles, dont des SMS et contacts du téléphone. Les chercheurs de l’entreprise DBAPPSecurity ont présenté leur découverte mercredi 5 août à la BlackHat, un important rassemblement annuel dédié à la sécurité informatique – qui s’est tenu cette année par visioconférence.
Une attaque qui imite un appareil Bluetooth
Sourcell Xu et Xin Xin, les deux chercheurs à l’origine de la découverte, sont partis de plusieurs attaques déjà connues des spécialistes en sécurité informatique et permettant d’abuser la technologie de communication sans fil Bluetooth.
Parmi ces attaques figurent notamment BadBluetooth, une technique peu discrète pour voler des données à un smartphone, et nécessitant l’installation d’une application vérolée sur l’appareil ciblé.
Mais mercredi, les chercheurs ont présenté une faille dite « zero day », à savoir inconnue jusqu’à ce jour, qui contourne la sécurité du protocole Bluetooth. Baptisée « BlueRepli », elle permet à un pirate de se connecter à un téléphone par le Bluetooth en se faisant passer pour un appareil déjà connu de la machine, et sans que l’utilisateur ait à accepter une demande de connexion.
« Cette vulnérabilité fait que la victime ne se rend pas compte que les pirates accèdent à leur carnet de contacts », explique Sourcell Xu au site spécialisé CyberScoop. Parmi les données qu’il est possible d’exfiltrer se trouvent certains SMS, mais aussi l’historique des appels du propriétaire du téléphone ciblé. Sur une marque de smartphone en particulier, non divulguée par les chercheurs, la faille permet même d’envoyer un SMS à l’insu de l’utilisateur.
Une technologie régulièrement attaquée
Un porte-parole de Google – qui détient et gère le système d’exploitation Android pour appareils mobiles – a expliqué à CyberScoop que l’entreprise n’avait pas encore corrigé la vulnérabilité.
La technologie de communication sans-fil Bluetooth, qui ne fonctionne qu’à courte distance, est régulièrement auscultée par les spécialistes en sécurité informatique. En 2018, un chercheur français avait notamment découvert une vulnérabilité touchant de nombreux objets connectés et permettant de prendre subrepticement le contrôle d’appareils connectés en Bluetooth.
En février, Google a corrigé une grave faille de sécurité qui permettait d’exécuter du code malicieux sur un téléphone (comme un virus donc) à distance sans que la victime puisse faire quoi que ce soit pour l’empêcher.
August 06, 2020 at 10:02AM
https://ift.tt/3gAFMsG
Découverte d'une faille Bluetooth sur Android, qui permet de voler discrètement des données - Le Monde
https://ift.tt/2VeiiB7
Android
No comments:
Post a Comment