Les chercheurs ont mis au point une attaque qui met plus de 50% des smartphones Android en équivalent numérique à un état végétatif persistant, et dans lequel ils sont presque complètement insensibles et incapables de remplir la plupart des fonctionnalités, y compris l’émission ou la réception d’appels. Autrement dit, vous aurez un téléphone qui ne permet plus d’appeler ! Un comble.
Comme le souligne Android Police, la vulnérabilité, qui réside dans le service mediaserver sur Android qui utilise l’indexation des fichiers multimédias, va très simplement exploiter une faille depuis un site Web. Il est vraisemblable que le smartphone peut être relancé par un redémarrage, mais selon un article publié par un chercheur de la firme de sécurité Trend Micro, le bug peut également être exploité par des applications malveillantes. Dans ce dernier scénario, l’application malveillante pourrait être conçue pour démarrer automatiquement chaque fois que le smartphone est allumé, provoquant des plantages peu de temps après chaque redémarrage.
En clair, la vulnérabilité est exploitée en utilisant un fichier vidéo malformé dans le conteneur Matroska (généralement un fichier .mkv). Lorsque le mediaserver essaie de traiter le fichier, le processus et se fige, entraînant désespérément avec lui le crash du système. Les chercheurs ont testé ce bug une fois en incluant le fichier .mkv corrompu dans une application, et dans une page Web.
Et, le bug n’est pas confiné à une petite partie de la population. En effet, la vulnérabilité affecte les versions Android 4.3 à l’actuelle 5.1.1, représentant environ la moitié de la base d’utilisateurs Android. De plus, ce bug intervient deux jours après que d’autres chercheurs ont averti que quelque 950 millions de smartphones Android peuvent être détournés par l’envoi d’un simple MMS. Le soi-disant bug Stagefright est plus grave que ce dernier, car il permet à des hackers de récupérer vos fichiers audio, vidéo, et d’autres données personnelles stockées sur des smartphones. Et dans certains cas, il permet l’exécution d’un code malveillant. Qui plus est, dans de nombreux cas, les attaques Stagefright ne nécessitent aucune intervention de l’utilisateur…
Trend Micro a confidentiellement signalé la vulnérabilité de mediaserver à Google à la fin mai. Les ingénieurs de Google ont reconnu le bug, mais lui ont attribué une faible priorité, mentionne Trend Micro.
