Google a supprimé des dizaines d’applications malveillantes de son marché d’applications mobiles, qui contenaient toutes prétendument du code lié à un sous-traitant employé par les agences de sécurité nationale américaines.
Selon un le journal Wall Street rapport, la société qui a écrit le code s’appelle Measurement Systems. L’entreprise aurait payé des développeurs du monde entier pour intégrer son kit de développement logiciel (SDK) dans leurs applications.
Le nombre précis d’Android (s’ouvre dans un nouvel onglet) applications qui transportaient le malware (s’ouvre dans un nouvel onglet) n’est pas clair (il y en avait au moins douze), mais selon les chercheurs responsables de la découverte, les applications ont été téléchargées au moins 60 millions de fois au total.
Cibler le Moyen-Orient
Google a maintenant supprimé les applications compromises du Play Store, mais elles restent actives et collectent toujours des données. Les applications comprennent un certain nombre d’applications de prière musulmane (avec plus de 10 millions de téléchargements), des applications de détection de pièges à grande vitesse, des applications de lecture de code QR et d’autres « applications grand public populaires ».
Apparemment, Measurement Systems aurait dit aux développeurs qu’ils voulaient des données d’utilisateurs du Moyen-Orient, d’Europe centrale et orientale et d’Asie.
Certaines des applications incriminées ont déjà été autorisées à revenir aux listes Google Play après avoir supprimé le code controversé.
Selon Serge Egelman et Joel Reardon, les chercheurs à l’origine de la découverte, les résultats représentent « le SDK le plus intrusif pour la vie privée qu’ils aient vu depuis six ans qu’ils examinent les applications mobiles ».
Le SDK rassemblait toutes sortes de données, de l’emplacement précis des points de terminaison aux adresses e-mail, numéros de téléphone et données sur les appareils personnels à proximité. Le presse-papiers de l’appareil était également surveillé, ce qui signifie que quiconque réussissait et collait ses mots de passe sur l’appareil mobile était en danger.
Selon les chercheurs, le type de données récoltées est très inhabituel, car les courtiers en données sur les consommateurs évitent généralement les données protégées par les lois sur la confidentialité.
Via le Wall Street Journal (s’ouvre dans un nouvel onglet)