Des chercheurs ont uni leurs efforts pour créer un proof-of-concept de cheval de Troie sur Android capable de voler des données. Si la finalité n'a rien de novatrice, la solution imaginée pour y parvenir est beaucoup plus originale : le troyen utilise les données émises par les différents capteurs du téléphone pour deviner ce qui y est saisi.
De si petits gestes...
L'université de l'état de Pennsylvanie (PSU) et IBM se sont associés pour concevoir un PoC à la méthodologie peu banale. Appelé TapLogger, il vise les données émises par des capteurs que l'on trouve désormais sur de nombreux smartphones, tels que le gyroscope, l'accéléromètre et d'autres pour l'orientation. Une fois en leur possession, il peut les mixer et réaliser des calculs pour déchiffrer les zones que le doigt de l'utilisateur a réellement touchées.
Le souci principal pour TapLogger est de savoir précisément sur quel téléphone il se trouve. C'est pourquoi il se présente sous la forme d'un jeu où l'on retourne des séries de deux cartes pour découvrir des paires identiques. Le jeu demande à l'utilisateur de toucher de nombreuses fois de l'écran. Selon le rapport de recherche, 30 rounds du jeu suffisent à enregistrer une base de plus de 400 évènements tactiles, chacun donnant lieu à d'infimes variations de l'inclinaison, de la hauteur, etc.
Mais pourquoi l'application accède-t-elle à ces données ? Parce qu'Android le lui permet. Les données issues des capteurs ne rentrent pas dans le modèle de sécurité et sont donc accessibles à toutes les applications qui en ont besoin et ce, quel que soit le niveau de permission.
TapLogger est capable ensuite de comparer les résultats obtenus à une base de données. Conséquence: l'application devine quel est le téléphone utilisé et peut donc ensuite s'adapter à ses mouvements. À partir de ce moment, l'entrainement de TapLogger est terminé et le cheval de Troie galope en phase « (...) Lire la suite sur PCInpact.com
SabPub, nouveau trojan aux dents longues sur Mac OS X
Apple publie son outil d'éradication du malware Flashback
Trend Micro critique la sécurité d'Android et consacre celle de BlackBerry
Microsoft corrige une faille critique dans un ActiveX utilisé par Office
Insolite : quand un smartphone Android résiste au FBI
