Attention, certaines applications Android préinstallées sont bourrées de failles de sécurité

Une information rapportée le vendredi 15 novembre 2019 par TechCrunch attire notre attention sur les applications préinstallées sur les appareils Android, toutes marques confondues. En effet, Kryptowire, une entreprise spécialisée dans la cybersécurité, a récemment lancé un avertissement sur certaines applications non installé par les utilisateurs, mais figurant déjà sur le smartphone. Selon cette entreprise, ces applications sont de véritables portes dérobées pour les pirates informatiques.
Dans les faits, le département américain de la Sécurité intérieure a financé une étude consistant à mettre à jour les différentes failles de sécurité figurant dans les appareils mobiles de 29 entreprises téléphoniques. La majorité d’entre elles sont des marques peu connues, toutefois, on y retrouve les marques de grandes enseignes comme Samsung, Asus ou encore Sony.
En utilisant un outil spécialement conçu pour débusquer les failles de sécurité, Kryptowire affirme avoir mis à jour non moins de 146 vulnérabilités au total.
Des vulnérabilités de toutes sortes
Selon cette entreprise de cybersécurité, les failles de sécurité découvertes étaient assez disparates. Certaines pouvaient amener le smartphone à télécharger d’autres applications en douce.
D’autres logiciels pouvaient insidieusement s’infiltrer dans l’enregistrement audio et quelques-unes avaient même la possibilité de modifier silencieusement les paramètres de votre téléphone.
Bien que certaines failles de sécurité ne puissent être enclenchées que par d’autres applications préinstallées, d’autres vulnérabilités pouvaient être exploitées par n’importe quelle application installée par la suite par l’utilisateur. Kryptowire nous livre ici la liste des 146 failles de sécurité, les périphériques concernés et leur niveau de dangerosité.
L’outil d’analyse de Google s’avère de loin insuffisant
Selon Wired, ce problème de failles de sécurité dues à des applications préinstallées n’est pas méconnu de Google. D’ailleurs, le géant de la technologie a mis au point un programme dénommé Build Test Suite (BTS) en 2018 auquel tous les fabricants d’équipement d’origine (FEO), aussi connu sous le terme d’équipementier, ou Original Equipment Manufacturer (OEM) en anglais, doivent se soumettre.
Ce programme est effectivement censé détecter et signaler les applications potentiellement nuisibles (PHA) qui sont signalées à Google. Dans son rapport de sécurité de 2018, l’entreprise indique que dans le cas où un PHA est identifié, Google travaille avec le partenaire OEM pour comprendre comment la faille de sécurité a été incluse dans l’application, et résoudre le problème avant de proposer le produit aux utilisateurs.
Toutefois, avec la propagation des smartphones de toute origine et de toute marque sur les marchés, on comprend aisément que certains logiciels et smartphones passent sous le radar du géant technologique. Quoique concernant ce rapport de Kryptowire, Google a tenu à faire savoir qu’il apprécie « le travail de la communauté des chercheurs (…) pour résoudre et divulguer les problèmes de ce type de manière responsable ».