Plusieurs smartphones Samsung vulnérables face à une procédure d'effacement non désirée

Plusieurs terminaux récents de Samsung exploitant la surcouche d'Android TouchWiz sont vulnérables à une attaque circulant actuellement sur Internet. En cliquant sur un simple lien, les possesseurs de l'un des smartphones ciblés perdent toutes leurs données, pour revenir aux paramètres de sortie d'usine de leur appareil. Le Galaxy S III européen semble néanmoins à l'abri.

Testée et confirmée par plusieurs sites dont The Verge et Tweakers, la faille cible les terminaux Samsung dotés d'une version d'Android qui comporte la surcouche logicielle TouchWiz du constructeur. Parmi les appareils potentiellement « à risque » selon leur degré de mise à jour se trouvent ainsi le Galaxy S II, le Galaxy S III ou encore le Galaxy Ace. Ces derniers peuvent, après un clic sur un lien anodin, être réinitialisés comme à leur sortie d'usine, faisant disparaître du même coup la totalité des données stockées par l'utilisateur.

Selon les observations, la manipulation exploite la fonction Unstructured supplementary service data (USSD) présente dans les téléphones mobiles. Cette dernière est normalement utilisée pour transmettre des informations via les canaux mobiles, notamment des accès à des services spécifiques, sans pour autant payer une communication. Par exemple, le code USSD #123# permet d'accéder au suivi conso d'Orange.

Dans le cas des smartphones Samsung, le code USSD en cause réinitialise le téléphone avec ses paramètres d'usine. Dévoilé à l'occasion de la conférence Ekoparty dédiée à la sécurité, la faille peut être déclenchée en cliquant sur une URL via le navigateur d'Android, en flashant un QR Code vérolé ou encore via une connexion NFC : le code USSD qui entraîne l'effacement des données s'affiche alors. En pratique, il est d'ailleurs visible sur tous les terminaux Android, mais la subtilité de la surcouche logicielle TouchWiz est qu'elle l'active automatiquement, autorisant donc la procédure d'effacement.

La faille n'est cependant pas active sur tous les terminaux, comme l'explique Slashgear : la version I9300 du Galaxy S III proposée en Europe ne semble pas vulnérable car la version de TouchWiz proposée sur le modèle a été patchée. Aux Etats-Unis, AT&T a également corrigé son modèle i747.

Reste que des codes USSD permettant de réinitialiser des terminaux Samsung circulent actuellement sur Internet : les possesseurs d'un appareil Anrdoid équipé de TouchWiz devraient donc réfléchir à deux fois avant de cliquer sur un lien potentiellement malveillant.