Méfiez-vous des demandes de «permission» dans votre application – Serveur d’impression

Méfiez-vous des demandes de «permission» dans votre application

Lorsque quelque chose d'aussi anodin qu'un éditeur de photo insiste pour vous envoyer des notifications fréquentes, vous risquez d'avoir des problèmes

Chaque fois que les experts en sécurité discutent de la sécurité Android, ils recommandent de ne télécharger que les applications du Google Play Store, car celui-ci contient beaucoup moins d'applications malveillantes que d'autres sites du même genre. Pourtant, les développeurs parviennent à se glisser dans les logiciels malveillants de temps en temps. Alors, comment évitez-vous de ramasser quelque chose de méchant?

Une stratégie défensive judicieuse consiste à prêter une attention particulière aux autorisations demandées par l'application, selon des chercheurs de la société de sécurité Kaspersky. Réfléchissez bien aux raisons pour lesquelles l'application a besoin de ces autorisations avant de lui donner le feu vert (ou rouge).

Kaspersky a récemment découvert dans Google Play deux programmes plutôt malsains se présentant comme des applications photo. Les deux ont traîné dans le magasin assez longtemps pour enregistrer chacun 10 000 téléchargements. Il n'y avait rien de particulièrement accrocheur à leur sujet; ils n'étaient que deux membres de la classe "encore un autre éditeur de photos".

Le seul détail qui aurait pu alerter l'utilisateur observateur était que les deux applications demandaient de manière persistante l'accès aux notifications, et qu'elles ne prendraient pas non pour une réponse. Tous les messages entrants apparaissent dans les notifications, ce qui signifie que les éditeurs de photos, s'ils en ont l'autorisation, peuvent les lire.

Un éditeur de photos n’a pas besoin de cet accès. Normalement, c’est quelque chose qui sert à communiquer avec une montre intelligente. Alors, pourquoi demanderait-il cela?

Après l’installation, l’éditeur de photos putatif a collecté des informations (numéro de téléphone, modèle de smartphone, taille de l’écran, opérateur de téléphonie mobile, etc.) et les a transmises au serveur des cybercriminels. En réponse, il a reçu une liste d'adresses Web pointant (via plusieurs redirections) vers une page d'inscription d'abonnement payant.

Vous avez probablement déjà rencontré des abonnements payants – soit sous la forme d'une sonnerie nécessitant des paiements réguliers, soit d'un mailing WAP ou SMS dont vous n'avez pas besoin mais qui vide votre compte mobile, penny par penny. Les transporteurs de divers pays sont friands de ces abonnements payants.

Plus souvent qu'autrement, les gens s'y abonnent par pure négligence, et non délibérément. Si vous ne lisez pas les petits caractères et avant de vous en rendre compte, vous payez un horoscope. Les victimes ne sont généralement informées de ces abonnements que lorsque leur compte de téléphone portable se vide plus rapidement que prévu.

Dans ce cas particulier, le malware a pour tâche d'inscrire la victime pour un contenu payant de manière à ne déclencher aucun drapeau. Pour ce faire, il désactive le WiFi et, à l'aide de données mobiles, charge des pages malveillantes dans une fenêtre invisible de l'utilisateur.

Pour remplir les champs obligatoires (par exemple, avec un numéro de téléphone), il utilise les informations précédemment collectées. Si le processus d'inscription utilise un Captcha, l'image est envoyée à un service spécial pour le décodage. Et le code de vérification SMS, si nécessaire, est intercepté via l'accès aux notifications.

Évitez les inscriptions non désirées

Il est difficile d'évaluer immédiatement le potentiel de préjudice d'une application. Cela dit, il existe des moyens de reconnaître une application suspecte et de se protéger contre les fonctionnalités non documentées:

• Examinez attentivement la liste des autorisations demandées par le programme. Si une application demande l'accès à des autorisations potentiellement dangereuses que vous jugez inutiles, n'ayez pas peur de refuser. S'il insiste, supprimez-le.
• Utilisez une solution de sécurité robuste qui détecte les "pages d'abonnement" et vous avertit du danger.
• Si votre opérateur de téléphonie mobile vous propose cette option, supprimez toute possibilité d'abonnement en ouvrant un "compte de contenu" distinct ou en activant un service de blocage d'abonnements.