Lorsque vous achetez un smartphone tout neuf, il y a ce petit moment magique juste après l’avoir sorti de la boîte, lorsqu’il est encore brillant et propre, où l’appareil est vierge de tout logiciel malveillant qui pourrait mettre vos données personnelles en danger. Du moins c’est ce que vous pensez. Une nouvelle étude révèle que le bloatware préinstallé sur de nombreux nouveaux téléphones Android pourrait faire bien plus que simplement occuper votre espace mémoire.
De nombreux téléphones Android sont livrés avec un logiciel pré-installé par le fabriquant de smartphones. Des chercheurs de l’Institut IMDEA Networks, de l’Université Carlos III de Madrid, de l’Université Stony Brook et de l’ICSI ont analysé le firmware de plus de 2 700 utilisateurs Android consentants dans le monde entier, créant ainsi un ensemble de données composé de 82 501 applications Android préinstallées.
Selon le document de recherche, bon nombre de ces applications espionnaient leurs utilisateurs, accédant à des données hautement personnelles. Les chercheurs ont ainsi déclaré :
Selon notre analyse de flux, ces résultats donnent l’impression que la collecte et la diffusion de données à caractère personnel (quel que soit le but ou le consentement donné) sont non seulement invasives, mais aussi pré-installées.
Quelles données ces applications Android collectent-elles ?
Non seulement les applications Android préinstallées ont récupéré des informations de géolocalisation, des emails personnels, des métadonnées d’appels téléphoniques et des contacts, mais certaines d’entre elles ont même contrôlé les applications installées et ouvertes par les utilisateurs. Dans de nombreux cas, les données personnelles ont été envoyées directement vers des agences de publicités.
Nombre de ces applications préinstallées rassemblent et communiquent des données à l’aide d’autorisations personnalisées accordées par le fabriquant de smartphones ou l’opérateur de téléphonie mobile, leur permettant ainsi de mener des actions que les applications classiques ne peuvent pas entreprendre.
Les exemples incluent des packages Facebook préinstallés, dont certains ne sont pas disponibles au niveau du store Google Play traditionnel. Ces derniers téléchargent automatiquement d’autres logiciels Facebook tels que Instagram, ont indiqué les chercheurs. Ils ont également découvert des applications chinoises, affichant les données de géolocalisation de Baidu, qui pourraient être utilisées pour localiser des utilisateurs sans leur permission.
L’analyse faite par les chercheurs suggère que bon nombre de ces applications Android utilisent peut-être des autorisations personnalisées pour collecter et échanger des informations dans le cadre d’accords de partage de données prédéfinis entre entreprises :
Ces différents protagonistes ont un accès privilégié aux ressources système grâce à leur présence au sein d’applications préinstallées et des bibliothèques tierces intégrées. Des partenariats et des accords potentiels, conclus en secret entre ces différents acteurs, ont pu transformer les données utilisateur en un véritable produit à part entière, et ce avant même que les utilisateurs n’achètent leurs appareils ou ne décident d’installer leur propre logiciel.
L’étude a distingué les personnes qui concluent des accords numériques dans votre dos comme les fabricants de smartphones, les opérateurs de téléphonie mobile, les services d’analyse et les sociétés de services en ligne à proprement parlé. Nous avons récemment écrit sur les applications qui partagent secrètement des informations avec Facebook.
Les chercheurs ont également découvert des bibliothèques de malwares intégrées à certains logiciels préinstallés. Une de ces bibliothèques, appelée Rootnik, permet d’obtenir un accès root à un périphérique, de divulguer des Informations Personnellement Identifiables et d’installer des applications supplémentaires. Les chercheurs ont ajouté :
Selon certains signalements, ce type de comportements englobe la fraude bancaire, l’envoi de SMS vers des numéros payants, l’abonnement à des services, l’installation silencieuse d’applications supplémentaires, des liens de visite et la diffusion d’annonces.
Comment ces applications se retrouvent-elles sur des téléphones Android ?
Il existe plusieurs facteurs qui se combinent ici. Premièrement, Google permet aux sociétés tierces de regrouper et de préinstaller les applications qu’elles jugent appropriées au niveau de leurs propres versions d’Android. Dans de nombreux cas, ce processus est loin d’être transparent, selon l’étude.
Le deuxième problème est que beaucoup d’applications qui passent à travers ce processus sont auto-signées. Les applications mobiles sont censées prouver leur légitimité en utilisant des certificats numériques, mais de nombreux développeurs créent simplement les leurs. C’est un peu comme donner votre propre nom comme référence pour postuler à un emploi.
Certaines de ces applications Android utilisent également des bibliothèques tierces pouvant contenir leurs propres problèmes de sécurité ou de protection de la vie privée. En accordant des autorisations personnalisées à une application, un fabricant de smartphones octroie également les mêmes autorisations à la bibliothèque tierce utilisée.
Tout cela pour dire que si vous achetez un téléphone Android, vous risquez d’obtenir un peu plus que ce à quoi vous vous attendez.
Billet inspiré de Preinstalled Android apps are harvesting and sharing your data, sur Sophos nakedsecurity.