Android : découverte d’une application de fonds d'écran voyeuse

Sécurité - Le logiciel de la gamme Jackeey offrait des fonds d'écran gratuits tout en envoyant des informations du téléphone à un site Internet tiers. La politique ouverte de l'Android Market est une nouvelle fois mise en cause.

La conférence Black Hat n'est pas seulement l'occasion de démonstrations de force mais aussi un lieu de publicité. Jeudi dernier, Lookout, spécialiste de la sécurité mobile, a ainsi présenté la découverte d'une application de la gamme Jackeey, offrant des fonds d'écran gratuits en échange d'informations personnelles.

Trouvée lors de l'étude de plus de 100 000 applications gratuites de l'App Store et de l'Android Market, elle accédait aux informations de la carte SIM (numéro de téléphone et identifiants) et le mot de passe de la messagerie (si programmé dans le téléphone) pour les envoyer à www.imnet.us, propriété d'un habitant de Shenzhen en Chine.

Au moins 47% des applications Android contiennent du code tiers

Les collections (gratuites ou non) de fonds d'écran font fureur sur l'Android Market. C'est en toute logique que celle-ci a été téléchargée entre 1,1 million et 4,6 millions de fois, le magasin d'applications n'offrant pas de données précises. Google indique avoir supprimé l'application le temps d'enquêter.

Avec l'alarmisme propre aux éditeurs de sécurité, Lookout rappelle que 23% des applications iPhone et 47% des applications Android contiennent du code d'éditeurs tiers (souvent des régies publicitaires comme iAd ou AdMob), souvent destiné à afficher de la publicité, ciblée ou non.

Selon l'éditeur, ces portions de code sont introduites sans autre vérification et représenteraient donc un danger si la collecte des informations aidant à cibler la publicité est mal sécurisée. Rappelons que depuis peu, iAd est désactivable en se rendant sur http://oo.apple.com avec un iDevice.

L'App Store plus sûr ?

Certains pourront y voir une caution supplémentaire pour le verrouillage de l'App Store d'Apple, même s'il n'a pas empêché un jeune développeur de cacher une application de tethering dans un logiciel lampe torche.

Google dispose également de protections dans ces situations, comme la suppression à distance des applications quand elles représentent un danger pour l'utilisateur.

A l'installation, les utilisateurs sont également prévenus des données auxquelles accède l'application qu'ils se préparent à télécharger. C'était le cas de l'application de Jackeey qui indiquait bien accéder aux informations « volées ».

L'utilité de l'accès aux informations doit donc être un réel élément de choix dans l'installation d'une application.