Español
L’espionnage des appels VoIP via VKontakte
Les universitaires ont mis en lumière un bug dans l’interaction de l’API Android Intent avec l’application VKontakte. Ainsi, si un hacker parvient à infecter un terminal mobile (découvrir comment choisir un smartphone pour son entreprise) et à y installer une application malveillante, celle-ci pourra débuter une conversation téléphonique via VKontakte. Or, le pirate informatique n’en ratera pas une miette puisqu’il pourra espionner les appels.
Un premier bug dans les composants VoIP qui fait froid dans le dos.
Des transferts d’appel non désirés
En utilisant deux API d’un composant VoIP d’Android, des applications malveillantes pouvaient transférer les appels entrants sur un terminal mobile vers un autre terminal.
Toutefois, un correctif a été apporté à cette vulnérabilité et son exploitation n’est donc plus possible.
Un téléphone rendu inopérant
Pouvant être menée à distance, cette attaque consiste pour un hacker à initier un appel entrant vers le terminal mobile cible, et ce en utilisant un numéro SIP de 1043 caractères.
Un tel numéro SIP va occuper tout l’écran de la victime et celle-ci ne pourra pas prendre l’appel ou bien le refuser. Pire, si les appels sont répétés, cela peut bloquer le téléphone quelques minutes, un délai suffisamment important pour qu’un attaquant puisse en toute tranquillité corrompre un compte de messagerie par exemple…
Notez que plusieurs autres vulnérabilités identifiées permettaient également de conduire une attaque par déni de service via des appels entrants.
L’exécution de code à distance
Voici assurément la pire vulnérabilité affectant les composants VoIP d’Android, et ce jusqu’à la version 9.0 du système d’exploitation. Fort heureusement, cette faille a aujourd’hui été colmatée.
Son exploitation donnait la possibilité à un hacker d’exécuter du code malveillant à distance via un simple appel VoIP (aller plus loin en découvrant notre offre de téléphonie VoIP). Eh oui, il suffisait de
provoquer un dépassement de tampon avec un nom d’utilisateur dépassant 513 octets lors de l’appel VoIP.
Vraiment problématique…
Google a pris très au sérieux tous ces problèmes et a énormément travaillé pour fournir des correctifs performants et permettant aux utilisateurs de smartphones Android de ne rien craindre des composants VoIP
