L’application Android de partage de fichiers ShareIt présente de profondes failles de sécurité

Une application Android utilisée par une partie importante de la population mondiale présente également des failles de sécurité flagrantes qui permettraient à un pirate informatique averti de voler les données d’un utilisateur ou même de détourner les opérations de l’application à l’aide de code arbitraire.

PartagerIt, qui prétend avoir plus de 1 milliard de téléchargements mondiaux, est le produit d’un développeur basé à Singapour Smart Media4U. Sa principale caractéristique est le partage de fichiers peer-to-peer, qui donne aux utilisateurs la possibilité d’échanger des photos, de la musique, des vidéos, gifs, etc. L’application, qui a suivi une trajectoire ascendante au cours des dernières années, a reconnu pour sa croissance rapide et sa portée mondiale.

Mais il a aussi apparemment des vulnérabilités logicielles qui permettraient à un mauvais acteur de facilement divulguer les données d’un utilisateur ou même d’exécuter du code arbitraire en abusant de ShareIt autorisations, selon un nouveau rapport de Trend Micro.

Le rapport montre que l’une des principales vulnérabilités de l’application provient de la façon dont elle partage les informations et les autorisations avec d’autres applications. En effet, en raison de la façon dont les téléphones Android sont mis en place pour partager des informations entre différents programmes, la plateforme a une l’histoire des mauvais acteurs qui tentent d’exploiter la communication inter-applications et d’en tirer parti des fins malveillantes. Spécifiquement, « mauvaises applications»Ou des programmes gérés secrètement par un mauvais acteur peuvent chercher des moyens d’accéder aux données sur des applications légitimes.

Partagez-le est conçu pour ouvrir largement les portes à d’autres applications en matière d’échange de données via son interface de fournisseur de contenu. Selon les chercheurs, ces vulnérabilités pourraient permettre à «toute entité tierce» «d’obtenir un accès temporaire en lecture / écriture au [app’s] les données du fournisseur de contenu. » Cela permettrait essentiellement un piratage de l’application pour exécuter « du code personnalisé, écraser les fichiers locaux de l’application ou installer des applications tierces à l’insu de l’utilisateur », Notes de ZDNet.

S’orienter Les micro-chercheurs ont découvert cette vulnérabilité en le faisant eux-mêmes. En manipulant la façon dont les applications de l’écosystème Android se parlent, ils ont constaté que le ShareIt l’application partagerait beaucoup trop d’informations, révélant les «activités arbitraires d’un utilisateur, y compris ShareIt activités d’applications internes (non publiques) et externes. » De diverses manières, ces failles de sécurité pourraient finalement être «utilisées de manière abusive pour divulguer les données sensibles d’un utilisateur et exécuter du code arbitraire avec des autorisations ShareIt», écrivent les chercheurs.

Le pire dans tout le rapport est probablement le fait que Trend Micro affirme avoir partagé ces problèmes de sécurité avec Smart Media4U il y a environ trois mois et que la société n’a apparemment rien fait. Le rapport conclut:

Nous avons signalé ces vulnérabilités au fournisseur, qui n’a pas encore répondu. Nous avons décidé de divulguer nos recherches trois mois après l’avoir signalé, car de nombreux utilisateurs pourraient être affectés par cette attaque, car l’attaquant peut voler des données sensibles et faire n’importe quoi avec l’autorisation des applications.

Ce n’est pas non plus la première fois que ShareIt a été signalé comme un risque de sécurité. L’application a en fait été mise sur liste noire par les États-Unis en janvier, lorsqu’un décret de la Maison Blanche de Trump au libellé vague l’a répertoriée comme l’une des nombreuses applications «chinoises connectées» que les Américains devraient éviter de peur de voir où leurs données pourraient aboutir. En sortant de la porte, Trump a lancé une campagne éclair de telles commandes ciblant le secteur technologique asiatique, dont la plupart semblaient conçues pour contrarier et isoler les entreprises chinoises. L’ordre proclame:

Les États-Unis ont évalué qu’un certain nombre d’applications logicielles chinoises connectées capturent automatiquement de vastes étendues d’informations provenant de millions d’utilisateurs aux États-Unis, y compris des informations personnelles sensibles et des informations privées. À ce stade, des mesures doivent être prises pour faire face à la menace posée par ces applications logicielles chinoises connectées …

Il est peu probable qu’une tonne d’Américains utilisent réellement ShareIt. Points de vente de l’industrie semblent montrer qu’une majorité de la base d’utilisateurs de l’application se trouve au Moyen-Orient, en Afrique et en Asie (c’était récemment banni en Inde, où le gouvernement a interdit à son personnel militaire d’utiliser l’application en raison de problèmes de sécurité des données). Néanmoins, si vous avez téléchargé ShareIt et que vous l’utilisez pour une raison quelconque, il serait peut-être préférable de repenser cette décision.

Nous avons contacté Smart Media4U pour obtenir des commentaires et mettrons à jour cette histoire si nous avons de nouvelles.