Android Installer Hijacking

“Android Installer Hijacking” est une vulnérabilité présente dans les systèmes d’exploitation Google Android qui permet aux cybercriminels de prendre la main sur l’installation à partir de fichiers APK et de distribuer des malwares sur les appareils mobiles.

Cette vulnérabilité est présente dans les versions suivantes : Android 2.3, 4.0.3–4.0.4, 4.1.X, 4.2.X, ainsi que dans certaines révisions d’Android 3.4 préinstallées. Google Android 4.4 et les versions ultérieures ne contiennent pas cette vulnérabilité.

Lors de la tentative d’installer une application depuis le fichier APK, la liste des autorisations requises par l’application s’affiche. Ces autorisations sont également indiquées dans la description de l’appli. Avec la vulnérabilité “Android Installer Hijacking”, les cybercriminels peuvent, de manière masquée, substituer une application de confiance par un malware. Celui-ci obtient donc l’accès aux données confidentielles stockées sur l’appareil.

Les utilisateurs peuvent se protéger en téléchargeant des applications uniquement depuis des sources sur lesquelles les fichiers APK sont sûrs et ne peuvent être compromis par des pirates (par exemple, Google Play). De plus, la vulnérabilité peut être exploitée uniquement si les utilisateurs installent une application eux-mêmes après l’avoir téléchargée sur une source non officielle.

Dr.Web pour Android détecte et neutralise les programmes malveillants exploitant la vulnérabilité “Android Installer Hijacking” juste après le début du processus d’installation. Ainsi, les utilisateurs de Dr.Web sont protégés contre ces Trojans.

Détails techniques

Les packages d’installation de programmes pour Google Android sont des fichiers comportant l’extension .APK, qui sont, en fait, des archives ZIP. Les applications sont installées via un outil spécifique appelé PackageInstaller. Lorsque l’installation démarre, cet outil analyse le contenu du package APK et en extrait les données importantes (comme les noms de fichiers, les autorisations requises ect.). Ensuite, les données clés sont affichées à l’utilisateur dans l’écran PackageInstallerActivity. Cet écran invite l’utilisateur à confirmer qu’il souhaite installer l’application et qu’il accorde à l’application les autorisations qu’elle requiert. L’installation démarre lorsque l’utilisateur appuie sur le bouton « Installer ».

La vulnérabilité permet aux cybercriminels de substituer le fichier APK de l’application, stocké sur une partie non sécurisée de l’appareil, par n’importe quel malware pendant que l’utilisateur lit les informations affichées par l’écran PackageInstallerActivity. A cause de cette erreur de développement, PackageInstaller ne vérifie pas une application installée via l’action de taper sur le bouton « Installer ». Ainsi, n’importe quel programme comportant des autorisations différentes de celles réellement requises dans l’écran PackageInstallerActivity peut être installé.

See also information about other vulnerabilities