Un expert en sécurité dévoile une application qui permet d'espionner les messages des utilisateurs d'un smartphone sous Android. On attend le correctif de Google.


A l'occasion de la 18e édition du Def Con (du 30 juillet au 1er août à Las Vegas), la convention des hackers viennent publiquement dévoiler leurs exploits en matière de, Nicholas Percoco, directeur du labo SpiderLabs de la société de conseils Trustwave, a dévoilé une application qui vise à dérober les informations stockées sur un téléphone mobile sous Android.

Selon les propos du dirigeant de Spider Labs rapportés par Reuters, l'application a été simple à réaliser. Il lui a fallu moins de deux semaines pour la créer. Elle a été distribuée sur DVD aux participants du Def Con. Autant dire que son apparition en ligne ne devrait pas tarder. Une démarche qui vise à pousser les éditeurs et constructeurs à renforcer la sécurité de leurs produits.

Google devrait donc rapidement proposer un correctif pour bloquer l'installation de ce type d'application ou, au minimum, son exploitation. D'autant que l'application en question s'apparente à un rootkit, ensemble de programmes qui s'installe dans les couches basses du système et passe généralement inaperçu aux yeux de son utilisateur. Il peut également ouvrir le contrôle distant de l'appareil hôte à l'utilisateur du rootkit, toujours en toute discrétion. Jusqu'à présent, les rootkits (qui sont avant tout des outils d'administration système plus que des agents malveillants) s'installaient sur les systèmes pour PC, Windows ou Linux/Unix. Ils font désormais leur apparition dans le monde du téléphone mobile.

Dans le cas présent, le rootkit développé par l'équipe de SpiderLabs permettrait aux pirates de consulter les e-mails des utilisateurs infectés, ainsi que les contenus des SMS et autres MMS. Un moindre mal mais l'outil pourrait être «amélioré» par des individus moins bien intentionnés que les experts de SpiderLabs. « Il y a des gens beaucoup plus motivés que nous sur ces questions », a indiqué Nicholas Percoco à Reuters. La démonstration a été faite sur les terminaux Legend et Desire de HTC mais devrait potentiellement fonctionners sur l'ensemble des smartphones Android. Une bonne occasion de vérifier l'importance que Google accorde a la sécurité de ses 160.000 nouveaux utilisateurs quotidiens.