L'attrait d'un smartphone bon marché peut être difficile à résister, d'autant qu'ils sont maintenant presque aussi performants que des modèles plus chers. C'est pour cette raison que les fabricants chinois autrefois inconnus comme Huawei et Xiaomi dépassent rapidement Pourquoi votre prochain smartphone Android devrait être chinois Pourquoi votre prochain smartphone Android devrait être chinois Depuis des années, les smartphones chinois ont une mauvaise réputation, mais voici pourquoi vous devriez vraiment envisager d'en obtenir un maintenant. Lire la suite plus établie, les fabricants premium, comme Samsung, Sony, et même Apple.
Mais, comme dans toutes les choses, vous obtenez ce que vous payez. Une vulnérabilité récemment découverte dans de nombreux combinés chinois à faible budget, qui pourrait permettre à un attaquant d'obtenir un accès root, prouve ce modus. Voici ce que vous devez savoir.
Comprendre l'attaque
Jargon Buster: Le Guide pour comprendre les processeurs mobiles Dans ce guide, nous allons passer à travers le jargon pour expliquer ce que vous devez savoir sur les processeurs de téléphones intelligents. ) construit par MediaTek, basé à Taiwan, qui est l'un des plus grands fabricants de semi-conducteurs au monde. En 2013, ils ont produit un phénoménal 220 millions de puces pour smartphones. L'un de leurs plus gros vendeurs est le MT6582, qui est utilisé dans un certain nombre de smartphones bas de gamme, dont beaucoup sont fabriqués par des fabricants chinois comme Lenovo et Huawei.
Le MT6582 est venu avec un réglage de débogage activé, qui, selon le fabricant, a été utilisé pour tester "l'interopérabilité des télécommunications" en Chine.
Bien que cela ait été nécessaire pour que MediaTek conçoive la puce et qu'elle fonctionne correctement, la laisser sur un appareil grand public représente un risque de sécurité incroyable pour les consommateurs. Pourquoi? Parce qu'il permet à un attaquant, ou à un logiciel malveillant, d'obtenir un accès root au téléphone .
Donc, Mediatek a brisé les fonctions de sécurité de base pour avoir ce travail de porte dérobée. Les propriétés en lecture seule ne sont PAS en lecture seule! pic.twitter.com/pEjtMNpo9v
- Justin Case (@jcase) 13 janvier 2016
À partir de là, ils seraient en mesure de modifier et de supprimer les fichiers et paramètres système importants, d'espionner l'utilisateur et d'installer encore plus de logiciels malveillants sans le consentement de l'utilisateur. Si un attaquant voulait, ils pourraient même brique le téléphone, le rendant définitivement inutilisable.
Selon The Register, cette vulnérabilité ne peut être exécutée que sur les téléphones exécutant la version 4.4 KitKat du système d'exploitation Android.
La découverte de cette vulnérabilité fait suite à une faille similaire trouvée dans le trousseau OS de la version 3.8 du noyau Linux, révélée par des chercheurs en janvier. Cette faille insensée dans Linux donne à n'importe qui accès à votre boîte Cette faille insensée sous Linux donne accès root Pour votre boîte Lire la suite. Une fois exploitée, cette vulnérabilité aurait permis à un attaquant d'accéder à la racine de la machine.
Cette vulnérabilité a affecté pratiquement toutes les distributions de Linux, ainsi qu'une pluralité de téléphones Android. Heureusement, un correctif a été rapidement publié.
Posez vos fourches
Bien que les téléphones Lenovo et Huawei soient particulièrement touchés, vous ne devriez pas les blâmer. Même si cela peut sembler attrayant, étant donné que certains de ces fabricants ont des antécédents d'irrégularités liées à la sécurité.
Lenovo est particulièrement coupable de cela. En 2014, ils ont brisé SSL pour tous leurs utilisateurs avec les propriétaires d'ordinateur portable Lenovo SuperFish Attention: votre appareil peut avoir des logiciels malveillants préinstallés Ordinateurs portables Lenovo Attention: votre appareil peut avoir des logiciels malveillants préinstallés Le fabricant chinois d'ordinateurs Lenovo a admis que les ordinateurs portables sont livrés aux magasins et aux consommateurs 2014 avait un logiciel malveillant préinstallé. Lire la suite . Ensuite, ils ont alourdi leurs ordinateurs portables avec des logiciels malveillants inébranlables, basés sur le BIOS. Puis ils ont installé un programme d'analyse Big Brother-esque effrayant Maintenant, il est trois Malwares préinstallés sur les ordinateurs portables Lenovo Maintenant, il est trois Malwares préinstallés sur Lenovo Ordinateurs portables Pour la troisième fois en un an, Lenovo ont été pris en charge des clients chargés de la vie privée -un logiciel malveillant non convivial, montrant qu'ils n'ont pas tiré les leçons du tollé général sur Superfish. En savoir plus sur leurs ordinateurs de bureau haut de gamme ThinkPad et ThinkCenter.
Mais ici, leurs mains sont propres. Pour une fois. La faute en incombe carrément à MediaTek, qui a expédié ces puces aux fabricants avec ce réglage activé.
Suis-je affecté?
Il est à noter que cette vulnérabilité n'aura pas la même portée que la vulnérabilité Linux mentionnée ci-dessus. La vulnérabilité ne se trouve que sur les téléphones fonctionnant sur un chipset qui ne sont pas livrés sur les téléphones sortis en 2015 et 2016.
Il ne peut également être exécuté que sur les téléphones fonctionnant sous une version très spécifique d'Android, qui, bien qu'il fonctionne sur environ un tiers des téléphones Android, n'est en aucun cas omniprésent.
Malgré cela, c'est probablement une bonne idée de vérifier si votre téléphone est vulnérable. Comme il se trouve, je possède un téléphone chinois de budget - un Huawei Honor 3C, qui était mon appareil principal jusqu'à ce que j'ai sauté le navire à Windows Phone en août.
Tout d'abord, j'ai regardé l'appareil sur GSMArena. C'est essentiellement l' Encyclopedia Britannica des téléphones. Si un grand fabricant l'a publié, ce site Web fournira des statistiques détaillées à ce sujet. Informations sur le chipset utilisé peuvent être trouvés sous la plate - forme . Effectivement, mon téléphone Huawei le contient.
Donc, alors j'ai besoin de voir si je cours la version affectée d'Android. J'ai ouvert les paramètres, puis j'ai tapé sur le téléphone . Cela pourrait être un peu différent pour votre téléphone. Les fabricants sont connus pour personnaliser le menu des paramètres.
Heureusement, mon téléphone fonctionne sous Android 4.2 Jellybean, qui, malgré sa longueur d'avance, n'est pas affecté par cette vulnérabilité.
Si vous êtes affecté
Bien que je sois plutôt chanceux, il est sûr de supposer que des millions de téléphones seront affectés par cela. Si vous êtes, vous seriez sage d'acheter un nouveau téléphone.
Le Moto G est officiellement là pour seulement 179 $ Débloqué Le Moto G est officiellement là pour seulement 179 $ Débloqué Motorola vient d'annoncer la rumeur de Moto G, un cousin moins cher de la Moto X qui coûtera 179 $ pour le modèle 8 Go et 199 $ pour le modèle 16Go. Read More est un excellent téléphone économique, produit par un fabricant en qui vous pouvez avoir confiance. Vous pouvez en obtenir un sur Amazon pour seulement 110 $. En prime, Motorola est plutôt rapide lorsqu'il s'agit d'émettre des mises à jour logicielles, ce qui n'est certainement pas le cas de Huawei.
Motorola Moto G (2ème génération) Téléphone portable débloqué, 8Go, Noir Motorola Moto G (2ème génération) Téléphone portable déverrouillé, 8Go, Noir Acheter maintenant Sur Amazon $ 139.40
Si vous ne pouvez pas vous permettre de mettre à niveau, il serait sage de prendre quelques précautions de sécurité simples. Tout d'abord, essayez d'éviter de télécharger des logiciels à partir de sources peu recommandables. Évitez de télécharger des applications piratées Applications et jeux Android piratés: lisez ceci avant de télécharger des applications et des jeux Android fissurés: lisez ceci avant de télécharger Les statistiques ne mentent pas: La plupart des logiciels malveillants Android proviennent de l'extérieur de Google Play. Télécharger des applications fissurées - ou n'importe quel type d'application - à partir d'un site Web ombragé ou d'un magasin d'applications tierces non digne de confiance est le moyen le plus ... Lire la suite et " warez " comme la peste. S'en tenir au magasin Google Play.
Il est probable que de nombreux utilisateurs concernés seront basés en Chine, où le Google Play Store n'est pas disponible. Les consommateurs chinois doivent se débrouiller avec d'autres magasins d'applications alternatives Google Play Alternatives pour télécharger des applications Android sans chichi Alternatives Google Play pour télécharger des applications Android sans chichi Beaucoup de gens pensent que le Google Play Store est la seule option pour télécharger des applications Android, mais sont en fait quelques alternatives de qualité là-bas. Lire la suite, dont beaucoup ne sont pas aussi vigilants à filtrer les logiciels malveillants que Google. Il serait conseillé aux consommateurs d'être très prudents.
En bref: avoir peur, mais ne pas
Cette vulnérabilité est effrayante. C'est effrayant parce que cela dépend de la configuration d'un composant particulier. C'est effrayant parce qu'il n'y a pas de mesures qu'un consommateur peut prendre pour rester en sécurité.
Mais il vaut la peine de souligner que la majorité des consommateurs ne seront pas touchés. Il ne concerne qu'un nombre limité de dispositifs, qui ont été publiés par une poignée de fabricants autour de 2013 et 2014. La plupart des gens devraient aller bien.
Avez-vous été touché? Si oui, obtiendrez-vous un nouveau téléphone? Ou n'êtes-vous pas si concerné? Faites-moi savoir dans les commentaires ci-dessous.