[MAJ] Xiaomi peut forcer l’installation à distance d’applis sur vos téléphones, et les pirates aussi
MAJ : Du fait que l'affaire ait pris de l'ampleur sur le net, les responsables de Xiaomi se sont vite empressés de répondre à ces accusations. Voici leurs explications, traduites de l'anglais :
“AnalyticsCore est un composant système intégré à MIUI utilisé par les autres composants afin d'analyser les données des utilisateurs pour améliorer l'expérience, comme MIUI Erroc Analytics. Par sécurité, MIUI [ndlr l'OS entier] vérifie la signature de l'application Analytics pendant l'installation ou la mise à jour pour garantir que seul l'APK avec la signature officielle peut être installée. N'importe quelle APK sans signature ne le pourra pas. Du fait qu'AnalyticsCore est clé pour assurer une meilleure expérience utilisateur, elle dispose d'une fonctionnalité de mise à jour automatique. Depuis MIUI v7.3 sorti en avril/mai, HTTPS a été intégré afin de mieux sécuriser le transfert de donnée, protégeant contre les attaques Man in the middle“.
Coup dur pour Xiaomi qui avait déjà été accusé de placer des adwares et malwares sur ses téléphones : un étudiant a découvert qu'un processus ancré dans MIUI permettait au constructeur d'installer à distance n'importe quelle application. Un procédé qui pourrait être aussi piraté.
L'économie de la high-tech et du numérique est progressivement passé d'une philosophie mettant en avant le bien à celle mettant en avant le service. Une évolution que l'on peut également voir sur nos smartphones, où le bien n'est plus qu'un conducteur du service qu'il nous procure réellement.
Toutefois, il reste tout aussi important. Mais la possession de nos smartphones devient étrangement secondaire. Alors que de nombreuses personnes préfèrent toujours s'endetter chez leur opérateur que d'acheter en une fois, ce principe devient d'autant plus flou aujourd'hui.
En effet, un étudiant en sécurité informatique des Pays Bas a découvert que MIUI, la fameuse ROM de Xiaomi équipant son Mi4, avait en son système une mystérieuse application préinstallée nommée “AnalyticsCore“. Le forum officiel de la marque n'ayant été d'aucune aide, il a pris sur lui d'enquêter sur celle-ci.
Après analyse, il s'agit d'une application qui envoie les informations de l’appareil (IMEI, modèle, adresse MAC…) aux serveurs officiels de Xiaomi toutes les 24 heures, et recherche un fichier de mise à jour du même temps. Si un paquet “Analytis.apk” existe sur celui-ci, elle l'installera automatiquement sans accord du possesseur du téléphone.
Et ce sans vérification avérée du fichier téléchargé, faisant que les pirates pourraient très bien utiliser cette “backdoor” pour leurs propres desseins. D'autant que ces communications ne sont pas chiffrées, laissant la possibilité aux pirates de se placer entre les communications du serveur et de l'appareil.
Alors que le Xiaomi Mi note 2 ne devrait plus tarder à être présenté, espérons que la marque réagisse à cette découverte et fournisse une explication plausible à cela. Voir même fasse marche arrière, ce procédé était hautement à risque.
Source
