Une vulnérabilité massive d’Android a exposé des millions de portefeuilles cryptographiques aux pirates informatiques
Une grave vulnérabilité dans un kit de développement logiciel (SDK) tiers Android populaire a rendu des dizaines de millions de portefeuilles de crypto-monnaie vulnérables au vol de données, selon un rapport récemment publié par l'équipe de recherche en sécurité de Microsoft Defender.
La faille a permis à des applications malveillantes de contourner le bac à sable de sécurité principal d'Android.
L'ampleur de la menace
La vulnérabilité a affecté un large éventail d’applications. L’écosystème des crypto-monnaies et des portefeuilles numériques a été le plus touché en raison de la nature de grande valeur des données stockées.
Microsoft a identifié plus de 30 millions d'installations d'applications de portefeuille crypto tierces concernées. L'exposition totale a dépassé 50 millions d'installations.
Si elle avait été exploitée, la vulnérabilité aurait pu exposer des informations personnelles identifiables (PII), des identifiants d'utilisateur privés et des données financières sensibles stockées en profondeur dans les répertoires privés de l'application concernée.
Heureusement, Microsoft a noté qu'il n'existe actuellement aucune preuve suggérant que cette vulnérabilité ait jamais été activement exploitée par des acteurs malveillants dans la nature.
La faille « redirection d’intention »
Le SDK EngageLab est un outil utilisé par les développeurs pour gérer les notifications push et la messagerie en temps réel dans l'application. La faille de sécurité a été attribuée à un composant spécifique (MTCommonActivity) qui a été automatiquement ajouté au code d'arrière-plan d'une application après le processus de construction.
Ce composant ayant été largement exporté, il est devenu accessible aux autres applications installées sur le même appareil Android.
Une application malveillante installée sur le même appareil pourrait créer un message manipulé (une « intention ») et l’envoyer à l’application de portefeuille crypto vulnérable.
L'application de portefeuille traiterait cette intention en utilisant sa propre identité et ses propres autorisations de confiance.
Cela a incité le portefeuille à accorder à l'application malveillante un accès persistant en lecture et en écriture à ses répertoires de données privées.
Des mesures rapides ont été prises dans l’ensemble de l’écosystème Android pour atténuer la menace.