Une étude qui vient seulement d'être révélée montre que le service Find My Mobile de Samsung a été victime de 4 failles de sécurité majeures. Si Samsung a corrigé depuis ces vulnérabilités depuis leur découverte, on ignore si elles ont été exploitées entre temps par des hackers. 

Sur les téléphones Samsung, la fonction Find My Mobile (Traçage du mobile dans sa version française) permet de localiser un smartphone ou une tablette en cas de perte ou de vol. Elle offre également le moyen de verrouiller l'appareil à distance, d'effectuer sur le Cloud une sauvegarde des données, de bloquer l'accès à Samsung Pay ou d'effacer toutes les données stockées sur le smartphone perdu. De quoi se prémunir de toute tentative d'intrusion de la part d'une personne malintentionnée.

Manque de chance, l'application censée sécuriser les données des téléphones Samsung a aussi fait les frais de quatre vulnérabilités. L'entreprise spécialisée en sécurité Char49 est à l'origine de cette découverte et a remis un rapport en janvier 2019 au constructeur. Le document vient d'être dévoilé lors de la DEF CON qui s'est tenue la semaine passée et nous permet d'en apprendre un peu plus sur la méthode de fonctionnement de l'exploit.

4 failles de sécurité découvertes dans la fonction Find My Mobile

L'une des failles en question elle est liée au fait que l'application vérifie la présence d'un fichier sur la carte SD et ayant pour nom fmm.prop. Si le fichier, qui renvoie à une URL, vient à être modifié, un hacker peut alors détourner la communication établie entre l'appareil et les serveurs Samsung. Dès lors, il peut obtenir de nombreux détails sur le propriétaire du smartphone, l'emplacement de l'appareil, son IMEI et d'autres informations.

Les autres vulnérabilités concernent quant à elles la gestion des permissions accordées aux composants com.sec.pcw.device.receiver.PCWReceiver, com.sec.pcw.device.receiver.SPPReceiver et syncml:auth-md5. Une fois ces failles exploitées, un hacker a alors tout loisir de géolocaliser l'appareil et de récupérer toutes les données liées à la partie téléphonique de l'appareil. Il lui est aussi possible verrouiller le smartphone ou de menacer son propriétaire de le réinitialiser, afin d'obtenir une rançon. Bref, la faille de sécurité laisse le hacker seul maître à bord.

Depuis que Samsung a pris connaissance de ce type vulnérabilité, le constructeur sud-coréen a pris la mesure du problème et a corrigé chacune des failles à l'aide d'une update. On ignore en revanche si la faille a pu être exploitée avant sa découverte : elle concerne en effet les Samsung Galaxy S7, S8 et S9, des modèles sortis entre 2016 et 2018, donc commercialisés bien avant que la vulnérabilité ne soit révélée.

Source : Char49