Pour qu’un smartphone sache qu’une mise à jour du système d’exploitation provient réellement du fabricant, il existe des certificats. Les images sont signées avec celles-ci pour garantir leur origine. Cela devrait offrir le plus haut niveau de sécurité possible. Le même principe s’applique également aux applications, particulièrement sensibles ici applications système, par exemple de Google ou du fabricant de l’appareil. Vous disposez de droits d’accès particulièrement étendus au système. Par conséquent, les clés de signature des fabricants de matériel sont extrêmement précieuses et sensibles à la sécurité.
Maintenant, les clés de signature d’application de plusieurs grands fabricants ont été divulguées. découvert que Lukasz Siewierski de l’équipe de sécurité Android. En conséquence, les clés sont déjà utilisées pour signer des logiciels malveillants. Les entreprises concernées comprennent Samsung, LG et Médiatekcomment Ars Technica signalé.
Les logiciels malveillants signés de cette manière peuvent sous android.uid.system fonctionner avec les privilèges les plus élevés. « Les gars, ce n’est pas bon du tout », écrit l’expert en sécurité Mishaal Rahman sur Twitter. Le logiciel peut ainsi fonctionner avec les mêmes autorisations que le système Android lui-même.
clés de 6 ans
Il y a une autre facette notable de l’histoire : interrogé par XDA, Samsung a déclaré que la société depuis 2016 être au courant de la fuite. Cela correspond également au fait que le premier malware signé de cette manière est arrivé exactement cette année nombre total de virus a été soumis. Selon Samsung, il n’y a aucun incident connu de dommages causés par la clé.
Bien qu’une grande partie de l’histoire soit encore dans l’obscurité, il faut souligner à nouveau dans ce contexte que Chargement latéral à partir d’applications en dehors de Google Playy plus que jamais est une mauvaise idée. La recherche des certificats divulgués sur APKmirror, par exemple, génère des centaines d’applications.
Bien que l’une ou l’autre application malveillante se glisse dans le Play Store, il y a au moins un certain nombre Niveau de sécurité de baseauquel se réfère également Ars Technica.
Il n’y a pas encore eu de déclarations officielles des autres entreprises concernées.