Un certain nombre d’applications peuvent présenter des failles de sécurité plus ou moins importantes. C’est d’autant plus gênant lorsqu’il s’agit d’une application préinstallée par le constructeur, en l’occurrence sur les smartphones de Xiaomi, et encore plus lorsqu’il s’agit de l’application dédiée à… la sécurité.

L’application « Sécurité » installée par défaut sur le Xiaomi Mi 9

Lorsque vous achetez un smartphone, un certain nombre d’applications sont déjà préinstallées dessus. On retrouve bien sûr les applications de la suite Google, mais aussi certaines autres applications proposées par le constructeur de l’appareil et/ou ses partenaires. Xiaomi par exemple possède tout un écosystème qui lui est propre et ses smartphones embarquent nativement plusieurs applications, dont une qui s’appelle « Sécurité » et qui fait office d’antivirus.

Le chercheur en sécurité Slava Makkaveev, de Check Point, a cependant remarqué que cette application présentait une faille de sécurité. Ironique pour une application qui est censée vous protéger…

Des connexions non chiffrées

Le processus Guard Provider (com.miui.guardprovider) communique avec les serveurs des trois antivirus d’Avast, AVL et Tencent. Ces échanges de données étaient néanmoins réalisés en clair et une personne mal intentionnée présente sur le même réseau pouvait en profiter pour réaliser une attaque dite de « Man in the Middle ». Il peut ainsi récupérer les informations envoyées par l’utilisateur ou au contraire lui en envoyer en se faisant passer pour le serveur de l’antivirus.

CheckPoint a découvert que cette faille de sécurité permettait aux pirates de désactiver les protections du smartphone et d’injecter du code permettant de voler des données ou encore d’installer un ransomware.

Une faille corrigée

CheckPoint a bien évidemment averti Xiaomi qui a rapidement patché cette faille. Il est d’ailleurs indiqué désormais que les échanges sont réalisés de manière « cryptée » (sic).

Cela prouve néanmoins qu’il faut se méfier de toutes les applications qui peuvent échanger des données avec des serveurs distants, y compris celles qui peuvent paraître particulièrement sécurisées ou celles installées nativement par le constructeur. Par ailleurs, on ne conseillera jamais assez de se méfier des réseaux publics, sur lesquels il est bon de naviguer en se protégeant derrière un VPN. C’est là un moyen bien plus efficace de protéger son smartphone qu’un antivirus.

À lire sur FrAndroid : 9 règles à suivre pour sécuriser son smartphone Android (et son iPhone)