Samsung : une faille critique remet les téléphones à 0

C’est lors de l’Ekoparty, une conférence dédiée à la sécurité informatique, que Ravi Borgaonkar a démontré sur scène qu’il est possible de forcer un téléphone sous Android à effectuer certaines actions. Dans son exemple, avec un simple lien envoyé par SMS à un Galaxy S3, il est parvenu à forcer la réinitialisation complète du téléphone à distance.
La faille du Galaxy S3 a été exploitée très simplement, grâce à une ligne de code HTML. Cette dernière, une fois cliquée, force le téléphone à exécuter une suite de caractères au clavier. Dans l’exemple en question, la suite de caractère tapée correspond à une séquence prévue par Samsung dans ses téléphones, et qui permet de remettre le téléphone à zéro (*2767*3855#). Le résultat est terrifiant : en cliquant simplement sur un lien, l’utilisateur ordonne sans le savoir la suppression de la totalité de ses données, et sans qu’aucune confirmation ne lui soit demandée. Notons que cette faille peut être encore plus redoutable si elle exploite certains protocoles du téléphone, comme le NFC, qui a la faculté de pouvoir ouvrir les adresses Web par défaut.
Si la faille a été démontrée sur un Galaxy S3, la fonction en question n’est pas exclusive à ce modèle, mais semble plutôt provenir de TouchWiz, la surcouche que Samsung utilise pour la majorité de ses téléphones de la gamme Galaxy. Cela signifie qu’outre le Galaxy S3, d’autres modèles seraient également concernés, comme le Galaxy Beam, le Galaxy S Advance, le Galaxy Ace et le Galaxy S2. Plusieurs vidéos circulent déjà sur le Net pour montrer que la faille fonctionne également sur plusieurs modèles différents. Pour l'heure, aucun correctif n'est disponible, et Samsung va devoir réagir très vite pour proposer un correctif fiable. En attendant, la sauvegarde s'impose comme une alternative pour se protéger. Sous Android, la meilleure alternative revient à rooter son téléphoneAndroid, puis d'effectuer des sauvegardes grâce à l'application Titanium.