Voici ce qui se passe lorsque votre téléphone vous espionne

Les applications de logiciels espions pour smartphones qui permettent aux gens de s’espionner les uns les autres ne sont pas seulement difficiles à remarquer et à détecter, elles divulgueront également facilement les informations personnelles sensibles qu’elles collectent, déclare une équipe d’informaticiens de New York et de San Diego.

Bien que commercialisées publiquement comme des outils pour surveiller les enfants mineurs et les employés utilisant l’équipement de leur employeur, les applications de logiciels espions sont également fréquemment utilisées par les agresseurs pour espionner secrètement un conjoint ou un partenaire.

Ces applications ne nécessitent que peu ou pas d’expertise technique de la part des abuseurs ; offrir des instructions d’installation détaillées ; et n’ont besoin que d’un accès temporaire à l’appareil de la victime. Après l’installation, ils enregistrent secrètement les activités de l’appareil de la victime, y compris les messages texte, les e-mails, les photos ou les appels vocaux, et permettent aux agresseurs de consulter ces informations à distance via un portail Web.

Les logiciels espions sont devenus un problème de plus en plus sérieux. Dans une étude récente de Norton Labs, le nombre d’appareils dotés d’applications de logiciels espions aux États-Unis a augmenté de 63 % entre septembre 2020 et mai 2021. Un rapport similaire d’Avast au Royaume-Uni a enregistré une augmentation étonnante de 93 % de l’utilisation de logiciels espions. applications sur une période similaire.

Si vous voulez savoir si votre appareil a été infecté par l’une de ces applications, vous devez vérifier votre tableau de bord de confidentialité et la liste de toutes les applications dans les paramètres, indique l’équipe de recherche.

“Il s’agit d’un problème réel et nous voulons sensibiliser tout le monde, des victimes à la communauté des chercheurs”, a déclaré Enze Alex Liu, le premier auteur de l’article No Privacy Among Spies: Assessing the Functionality and Insecurity of Consumer Android Spyware. Apps et un doctorat en informatique. étudiant à l’Université de Californie à San Diego.

Liu et l’équipe de recherche présenteront leurs travaux au symposium sur les technologies de protection de la vie privée à l’été 2023 en Suisse.

Les chercheurs ont effectué une analyse technique approfondie de 14 principales applications de logiciels espions pour les téléphones Android. Bien que Google n’autorise pas la vente de telles applications sur son magasin d’applications Google Play, les téléphones Android permettent généralement de télécharger séparément ces applications invasives via le Web. L’iPhone, en comparaison, ne permet pas un tel “chargement latéral” et donc les applications de logiciels espions grand public sur cette plate-forme ont tendance à être beaucoup plus limitées et moins invasives en termes de capacités.

Qu’est-ce qu’une application de logiciel espion ?

Les applications de logiciels espions s’exécutent subrepticement sur un appareil, le plus souvent à l’insu du propriétaire de l’appareil. Ils collectent une gamme d’informations sensibles telles que l’emplacement, les SMS et les appels, ainsi que l’audio et la vidéo. Certaines applications peuvent même diffuser de l’audio et de la vidéo en direct. Toutes ces informations sont transmises à un abuseur via un portail de logiciels espions en ligne.

Les applications de logiciels espions sont commercialisées directement auprès du grand public et sont relativement bon marché, généralement entre 30 et 100 dollars par mois. Ils sont faciles à installer sur un smartphone et ne nécessitent aucune connaissance spécialisée pour être déployés ou exploités. Mais les utilisateurs doivent avoir un accès physique temporaire à l’appareil de leur cible et la possibilité d’installer des applications qui ne se trouvent pas dans les magasins d’applications pré-approuvés.

Comment les applications de logiciels espions collectent-elles des données ?

Les chercheurs ont découvert que les applications de logiciels espions utilisent un large éventail de techniques pour enregistrer subrepticement des données. Par exemple, une application utilise un navigateur invisible qui peut diffuser des vidéos en direct depuis la caméra de l’appareil vers un serveur de logiciels espions. Les applications sont également capables d’enregistrer des appels téléphoniques via le microphone de l’appareil, activant parfois la fonction haut-parleur dans l’espoir de capturer également ce que disent les interlocuteurs.

Plusieurs applications exploitent également les fonctionnalités d’accessibilité des smartphones, conçues pour lire ce qui apparaît à l’écran pour les utilisateurs malvoyants. Sur Android, ces fonctionnalités permettent effectivement aux logiciels espions d’enregistrer les frappes au clavier, par exemple.

Les chercheurs ont également trouvé plusieurs méthodes que les applications utilisent pour se cacher sur l’appareil de la cible.

Par exemple, les applications peuvent spécifier qu’elles n’apparaissent pas dans la barre de lancement lors de leur ouverture initiale. Les icônes d’application se font également passer pour “Wi-Fi” ou “Service Internet”.

Quatre des applications de logiciels espions acceptent les commandes via des messages SMS. Deux des applications analysées par les chercheurs n’ont pas vérifié si le message texte provenait de leur client et ont quand même exécuté les commandes. Une application pourrait même exécuter une commande qui pourrait effacer à distance le téléphone de la victime.

Lacunes dans la sécurité des données

Les chercheurs ont également étudié dans quelle mesure les applications de logiciels espions protégeaient les données utilisateur sensibles qu’elles collectaient. La réponse courte est : pas très sérieusement. Plusieurs applications de logiciels espions utilisent des canaux de communication non cryptés pour transmettre les données qu’elles collectent, telles que des photos, des textes et la localisation. Seuls quatre des 14 chercheurs étudiés l’ont fait. Ces données incluent également les identifiants de connexion de la personne qui a acheté l’application. Toutes ces informations pourraient être facilement récoltées par quelqu’un d’autre via WiFi.

Dans la majorité des applications analysées par les chercheurs, les mêmes données sont stockées dans des URL publiques accessibles à toute personne disposant du lien. De plus, dans certains cas, les données des utilisateurs sont stockées dans des URL prévisibles qui permettent d’accéder aux données de plusieurs comptes en changeant simplement quelques caractères dans les URL. Dans un cas, les chercheurs ont identifié une faiblesse d’authentification dans un service de logiciels espions de premier plan qui permettrait à toutes les données de chaque compte d’être accessibles par n’importe quelle partie.

De plus, bon nombre de ces applications conservent des données sensibles sans contrat client ou après qu’un client a cessé de les utiliser. Quatre des 14 applications étudiées ne suppriment pas les données des serveurs de logiciels espions même si l’utilisateur a supprimé son compte ou si la licence de l’application a expiré. Une application capture les données de la victime pendant une période d’essai gratuite, mais ne les met à la disposition de l’agresseur qu’après avoir payé un abonnement. Et si l’agresseur n’obtient pas d’abonnement, l’application conserve quand même les données.

Comment contrer les logiciels espions

“Notre recommandation est qu’Android applique des exigences plus strictes sur les applications qui peuvent masquer les icônes”, écrivent les chercheurs. “La plupart des applications qui s’exécutent sur les téléphones Android devraient avoir une icône qui apparaîtrait dans la barre de lancement.”

Les chercheurs ont également découvert que de nombreuses applications de logiciels espions résistaient aux tentatives de les désinstaller. Certains ont également redémarré automatiquement après avoir été arrêtés par le système Android ou après le redémarrage de l’appareil. “Nous recommandons d’ajouter un tableau de bord pour surveiller les applications qui se lanceront automatiquement”, écrivent les chercheurs.

Pour contrer les logiciels espions, les appareils Android utilisent diverses méthodes, notamment un indicateur visible pour l’utilisateur qui ne peut pas être ignoré lorsqu’une application utilise le microphone ou la caméra. Mais ces méthodes peuvent échouer pour diverses raisons. Par exemple, des utilisations légitimes de l’appareil peuvent également déclencher l’indicateur du microphone ou de la caméra.

“Au lieu de cela, nous recommandons que toutes les actions d’accès aux données sensibles soient ajoutées au tableau de bord de confidentialité et que les utilisateurs soient périodiquement informés de l’existence d’applications avec un nombre excessif d’autorisations”, écrivent les chercheurs.

Divulgations, garanties et prochaines étapes

Les chercheurs ont divulgué toutes leurs découvertes à tous les fournisseurs d’applications concernés. Personne n’a répondu aux révélations à la date de publication du journal.

Afin d’éviter les abus du code qu’ils ont développé, les chercheurs ne mettront leurs travaux à disposition sur demande qu’aux utilisateurs pouvant démontrer qu’ils en ont un usage légitime.

Les travaux futurs se poursuivront à l’Université de New York, dans le groupe du professeur agrégé Damon McCoy, qui est titulaire d’un doctorat de l’UC San Diego. ancien élève. De nombreuses applications de logiciels espions semblent être développées en Chine et au Brésil, une étude plus approfondie de la chaîne d’approvisionnement qui leur permet d’être installées en dehors de ces pays est donc nécessaire.

“Tous ces défis soulignent la nécessité d’un ensemble d’interventions plus créatif, diversifié et complet de la part de l’industrie, du gouvernement et de la communauté de la recherche”, écrivent les chercheurs. “Bien que les défenses techniques puissent faire partie de la solution, la portée du problème est beaucoup plus grande. Un éventail plus large de mesures devrait être envisagé, y compris des interventions de paiement d’entreprises telles que Visa et Paypal, des répressions régulières du gouvernement et d’autres mesures d’application de la loi peuvent également nécessaire pour éviter que la surveillance ne devienne un bien de consommation.”