Il est facile de créer une application malveillante qui accède au microphone et à l'affichage de l'écran sans que l'utilisateur ne s'en rende compte. Seul Android 8.0 dispose d'un patch à l'heure actuelle.

Des chercheurs en sécurité de MRW Labs ont découvert que des pirates peuvent créer des applications malveillantes capables d'accéder sans grande difficulté au microphone et capturer l'écran sur les smartphones Android. Il suffit pour cela d'utiliser le service MediaProjection qui existe depuis Android 5.0.

Auparavant, une application mobile qui voulaient accéder à ces ressources devait avoir les privilèges administrateurs (root). Avec l'arrivée de MediaProjection, ce n'est plus le cas. L'utilisateur est simplement averti de cet accès par une fenêtre d'alerte.

Le problème, c'est que le pirate peut recouvrir tout ou partie de cette autre fenêtre sans que le système ne s'en rende compte. Trompé, l'utilisateur pense valider un message banal alors qu'en réalité il autorise un accès à des ressources sensibles. Voici, ci-dessous, un exemple.

Alerté par MWR Labs en juillet dernier, Google a publié un patch en août, mais seulement pour Android 8.0 (Oreo). Les versions 5, 6 et 7 du système sont toujours vulnérables à cette attaque. D'après les statistiques de novembre dernier, 78,7 % des appareils Android sont donc impactés par ce risque de sécurité. 

Les utilisateurs sont invités à mettre rapidement à niveau leur système d'exploitation. Malheureusement, ce n'est pas toujours possible car les mises à jour - qui sont gérées par les constructeurs et les opérateurs - ne sont pas toujours disponibles. Dans ce cas, il faut redoubler de prudence et, surtout, ne pas télécharger d'applications douteuses.