Samsung : une faille de sécurité permet de pirater les smartphones Galaxy depuis 2014

Samsung corrige une faille de sécurité apparue en 2014 sur tous les smartphones Galaxy. En exploitant cette brèche critique, un pirate est capable d’espionner tous les messages d’un terminal et de s’emparer des données personnelles des utilisateurs. Pour vous protéger des hackers, on vous invite à installer la mise à jour de mai 2020 sur votre téléphone. 

Mateusz Jurczyk, chercheur en sécurité informatique au sein de l’équipe Project Zero de Google, a découvert une grave faille de sécurité au sein des smartphones Galaxy. La brèche est située dans la surcouche Android développée par le constructeur, dans le système de gestion du format d’image personnalisé «Qmage» (.qmg). Tous les smartphones signés Samsung prennent en charge ce format, notamment présent dans les thèmes et les animations de la surcouche, depuis 2014.

Sur le même sujet : Google corrige 39 failles de sécurité Android avec le patch de mai 2020

La faille permet d’espionner les SMS reçus via Samsung Messages

La faille permet à un attaquant expérimenté de pénétrer dans la bibliothèque graphique d’Android, conçue pour rediriger toutes les images reçues par un smartphone. Cette bibliothèque gère le chargement et l’affichage de divers formats d’image, y compris le Qmage de Samsung. Pour entrer dans la bibliothèque d’Android, et y exécuter du code malveillant à l’insu des utilisateurs, le pirate doit bombarder le smartphone ciblé de MMS contenant des images Qmage.

Il faut entre 50 et 300 MMS afin d’exploiter cette vulnérabilité et contourner les mécanismes de sécurité mis en place par Google. Le processus prend un peu plus d’un heure, précise Mateusz Jurczyk. Une fois que c’est fait, le pirate peut exécuter du code au sein de la bibliothèque graphique d’Android. In fine, l’attaquant obtient donc un accès complet aux messages reçus et envoyés par le smartphone via Samsung Messages. Il peut aussi s’emparer de l’historique des appels, de la liste de contacts, des photos et vidéos stockées dans la mémoire et activer le microphone.

Alerté par Jurczyk en février dernier, Samsung a finalement corrigé la brèche dans le correctif de sécurité de mai 2020. Pour vous protéger contre les pirates, on vous invite à installer celui-ci sur votre téléphone en vous rendant dans Paramètres > A propos de l’appareil > Mise à jour logicielle. Pour l’heure, le patch a déjà été déployé sur une poignée de smartphones Galaxy, dont les Galaxy S20, le Galaxy Z Flip, le Galaxy Fold, le Galaxy Note 10 et les Galaxy S10.