Des chercheurs en cybersécurité ont découvert une faille dans Electron, le framework très populaire utilisé par de nombreuses applications, dont Discord et Spotify. Celle-ci permet à n’importe quel pirate en ayant la connaissance de prendre facilement possession du compte de sa victime. Les développeurs d’Electron ont heureusement été prévenus et ont corrigé la vulnérabilité.

Qu’une faille se trouve dans une application est déjà assez compromettant en soi, mais quand celle-ci se trouve dans un framework utilisé par de nombreuses applications très populaires, on fait face à un réel problème de sécurité. C’est précisément ce qui est arrivé à Electron. Si vous ne connaissez pas ce nom, il y a pourtant de très fortes chances que vous y ayez recours quotidiennement.

Electron, c’est en effet en le framework de référence pour les applications web qui veulent proposer une version desktop à leurs utilisateurs. C’est ainsi sur ce dernier que reposent Discord, Spotify, et globalement plusieurs services de messagerie en ligne tels que Microsoft Teams, qui comptent chacun plusieurs dizaines de millions d’utilisateurs. Or lors de la conférence des Black Hat qui s’est tenu ce jeudi 11 août à Las Vegas, un groupe de chercheurs à révéler qu’il est très simple de pirater Electron et, de facto, les applications qui l’utilisent.

Sur le même sujet — Spotify : de faux artistes piratent des comptes pour générer des écoutes fictives

Toutes les applications basées sur Electron ont été vulnérables à cause de cette grosse faille

Les chercheurs ont ainsi pris l’exemple de Discord, qui rendait la tâche particulièrement aisée pour les pirates. En effet, il suffisait à ces derniers d’envoyer un lien malveillant (liens qui pullulent d’ailleurs déjà sur la plateforme) vers une vidéo à leur victime pour prendre possession de leur compte. Une bien mauvaise nouvelle pour la messagerie qui est déjà en proie à de multiples attaques de hackers.

Pour Microsoft Teams, une simple invitation à une réunion suffit. Le lien envoyé permettait aux pirates de contrôler le PC de leur cible. « Les utilisateurs ordinaires doivent savoir que les applications Electron ne sont pas les mêmes que leurs navigateurs quotidiens », souligne Aaditya Purani, qui admet lui-même ne jamais utiliser d’applications Electron. Les chercheurs ont fait part de leur découverte aux développeurs du framework, qui ont rapidement corrigé la faille.

Source : Vice