Une faille informatique encore active sur Android.

L’équipe Project Zero de Google vient de dévoiler qu’une vulnérabilité toujours active touche plusieurs modèles de smartphones Android.

Quotidiennement, l’actualité informatique recense des failles informatiques utilisées par des personnes malveillantes par le bais « d’exploits ». Ces combinaisons permettant d’exploiter une vulnérabilité sont devenues un marché à part entière dans le monde du numérique, et de grands groupes spécialisés revendent parfois des millions de dollars des exploits présents sur de grands sites tel que des messageries comme WhatsApp ou des réseaux sociaux comme Facebook.

Toutefois, lorsqu’il s’agit d’une faille informatique révélée par l’équipe « Project Zero » de Google, l’exploit en question est en général d’un danger important. Ces dernières heures, l’équipe de spécialiste du géant du numérique ont levé le voile au grand public sur une chaîne d’exploit zero-day (terme pour définir l’absence de correctif à la vulnérabilité en question), qui toucherait plusieurs smartphones équipés des dernières versions d’Android.

Une faille informatique est actuellement exploitée sur Android

La faille en question a été communiquée aux marques concernées il y a une semaine. Lorsque Google prend connaissance d’une vulnérabilité zero-day étant encore exploitée, l’équipe Projec Zero ne donne que 7 jours aux entreprises du numérique touchées pour prendre connaissance de la faille et apporter des correctifs. Ensuite, l’information est communiquée à la presse.

Pour cette faille, les marques concernées sont Google directement, par le biais de ses smartphones Pixel. Samsung, Xiaomi, Oppo et Huawei font également partie des concernées. Mais tous les smartphones de ces marques ne sont pas victimes de la vulnérabilité, tant elle touche en réalité que certaines versions d’Android, en l’occurrence, quelques-unes des plus récentes (Android 8.0 et plus). Retrouvez-ci-dessous les modèles concernés :

Forcément, Google a déjà publié un correctif, qui sera disponible en ce début du mois d’octobre. La société a indiqué dans un communiqué qu’un « correctif a été mis à la disposition des partenaires afin de garantir la protection de l’écosystème Android contre ce problème ».

La raison pour laquelle les versions antérieures de l’OS d’Android ne sont pas concernés est très simple : la vulnérabilité en question est déjà apparue en décembre de l’année 2017, et un précédent correctif avait été introduit, notamment pour les versions 3.18, 4.14, 4.4 et 4.9.

Un exploit commercialisé par le groupe NSO

Selon les dires de l’équipe Project Zero, l’exploit informatique aurait été trouvé puis commercialisé par le groupe NSO. Derrière ces trois lettres, une société israélienne réputée pour vendre des exploits et des outils de surveillance, notamment pour des états au régime oppressif.

En exploitant la vulnérabilité sur les dernières versions d’Android, les personnes ou entités malveillantes qui auraient utilisées l’exploit zero-day auraient pu accéder au contenu des smartphones, bien que la chaîne d’exploit n’était pas classée RCE (exécution automatique à distance). En d’autres termes, la faille ne pouvait pas être exploitée à distance, sans interaction avec l’utilisateur.