Des chercheurs de l'université de Californie Riverside et de l'université du Michigan ont indiqué avoir découvert une méthode permettant de " hacker " des applications sur des smartphones Android, iOS et Windows Phone.
Ils ont plus précisément exploité la faille sur un smartphone Android mais estime que leur méthode est reproductible avec iOS et Windows Phone, afin de permettre à un attaquant de dérober des données personnelles d'applications.
L'attaque tire parti d'une application en apparence inoffensive mais en réalité malveillante que l'utilisateur doit télécharger. L'exemple d'un simple fond d'écran est donné. Une fois cette application installée, elle permet d'accéder aux statistiques de la mémoire partagée d'un processus, ce qui peut se faire sans privilèges.
Les changements dans la mémoire partagée sont ensuite surveillés et une corrélation peut être établie avec " une activité de transition ", indique un article de vulgarisation de l'université de Californie Riverside. Il peut par exemple s'agir d'une connexion à Gmail.
Une fois la fenêtre d'activité identifiée, l'attaque permet d'extraire de l'application ciblée des données personnelles comme les identifiants. Cela passe par l'affichage au bon moment d'un faux écran de connexion, tandis qu'un message d'erreur suivra afin d'éviter d'éveiller les soupçons.
Pour Gmail, le taux de réussite de l'attaque a été de 92 %, et entre 83 % et 92 % pour cinq autres applications dont une développée par Hotels.com, Chase Bank. Avec l'application d'Amazon, ce taux est par contre tombé à 48 % car il est plus difficile de deviner l'activité liée.
L'attaque n'est cependant pas simple à mettre en œuvre. Elle doit se produire au moment exact où, par exemple, l'utilisateur s'identifie avec une application. Par ailleurs, on en revient un peu toujours à la même histoire. Sans application malveillante, il n'y a pas d'exploitation possible.
Des démos en vidéo des attaques sont publiées ici.
