Stalkerware : comment les harceleurs abusent des autorisations de votre smartphone

Quand on pense à la surveillance numérique, on pense souvent à ça : des géants de la Silicon Valley qui collectent massivement des données ou des gouvernements qui supervisent des programmes d’espionnage. Pourtant, en pratique, les formes les plus insidieuses et nocives de surveillance ne viennent pas d’organisations lointaines, mais de harceleurs qui connaissent leurs victimes.

La plupart des harceleurs n’emploient pas de méthodes sophistiquées. Pour accéder au téléphone de son conjoint ou de sa conjointe, il suffit d’en connaître le mot de passe ou le schéma de déverrouillage, ce qui est fréquent dans les relations de couple. Cela suffit pour lire les messages d’une personne ou pour activer le partage continu de localisation sous une application anodine comme Google Maps.

Des formes plus poussées de surveillance prédatrice passent par l’utilisation de ce que l’on appelle un stalkerware : « un outil diffusé sur les grandes plateformes et dont le but est de permettre d’espionner une personne, par exemple par ses messages ou ses déplacements », explique Thomas Roccia, chercheur en cybersécurité chez McAfee. D’un point de vue technique, ces logiciels ne sont pourtant pas complexes, et attirent l’attention sur la quantité d’informations sensibles aisément accessibles dans nos smartphones.

Des applications presque normales

Les stalkerware « utilisent des mécanismes parfaitement normaux du téléphone ». C’est la raison pour laquelle ils sont le plus souvent légaux, et cela les différencie de véritables malwares illégaux comme les chevaux de Troie, qui vont eux exploiter des vulnérabilités ou des bugs. Les virus utilisés à des fins d’espionnage industriel ou politique rentreraient plutôt dans cette dernière catégorie.

Un stalkerware doit demander à l’utilisateur de lui octroyer des permissions

Comme toutes les applications normales, un stalkerware doit demander à l’utilisateur de lui octroyer certaines permissions, comme suivre la géolocalisation, lire les SMS, ou enregistrer de la vidéo. Et une fois repéré par l’utilisateur, typiquement dans la liste d’applications située dans les paramètres du téléphone, un stalkerware se désinstalle aussi de manière normale.

Mais ces logiciels cachent assez souvent leur icône, de façon à ne pas être visibles dans le tiroir d’applications de l’appareil. « Certaines vont même s’autodétruire quand elles sont repérées et que l’utilisateur essaye de prendre des mesures pour les contrer. »

Hors des plateformes officielles

Si leurs activités n’enfreignent pas les « règles de fonctionnement » du téléphone, les stalkerwares vont par leur principe même à l’encontre des conditions d’utilisation des grandes boutiques logicielles, comme Google Play ou l’App Store. Celles-ci stipulent en effet que toute application de surveillance doit se manifester aux yeux de ses utilisateurs. Mais en pratique, des chercheurs ont pu retrouver, sur le Play Store en particulier, un large choix d’applications pouvant servir de stalkerware. Ces dernières sont plus ou moins déguisées en applications de contrôle parental ou de suivi de téléphones d’employés, et le ménage opéré par les plateformes ne résout pas le problème.

Pas besoin de rooter le téléphone

Les stalkerwares sont donc souvent présents sur des boutiques d’application non officielles. Les installer nécessite de « contourner les protections du téléphone. Sous Android, c’est très simple : il suffit d’aller dans les réglages du téléphone et d’accepter l’installation d’applications tierces. »

Il n’y a pas besoin de rooter le téléphone, une opération techniquement bien plus difficile. Sous iOS, qui est un système beaucoup plus verrouillé, c’est déjà plus compliqué. Il faudrait typiquement jailbreaker l’appareil — il s’agit du même principe que le root, mais sur iPhone. Cependant, « il existe aujourd’hui du stalkerware sur iPhone qui ne nécessite pas de jailbreak », signale Thomas Roccia.

Par la suite, l’installation est presque aussi simple que pour une application normale. « Les sociétés qui proposent ces logiciels offrent des liens qui permettent de faire l’installation simplement en cliquant dessus », méthode utilisable par des harceleurs qui connaissent le mot de passe du téléphone de leur victime. D’autres méthodes sont plus discrètes : « on peut également mettre l’application sur une carte SD qui, une fois insérée dans le téléphone, l’installe automatiquement ». Dans tous les cas, il faut un accès physique direct à l’appareil.

Comment se protéger ?

Cela relève du bon sens : « le premier indice qui devrait mettre la puce à l’oreille est la présence d’une application inconnue sur son téléphone. » Mais le nerf de la guerre se trouve dans les autorisations données aux différentes applications déjà installées, qu’il faut passer au peigne fin. Sécurité supplémentaire : « on peut aussi veiller à ce que l’option qui permet l’installation d’applications non officielles soit désactivée dans les paramètres. »

En 2018, une étude sur les stalkerwares conduite par l’université de Cornell concluait que les développeurs de systèmes d’exploitation mobile devaient repenser l’octroi des autorisations logicielles pour éviter ce genre de dérives. C’est déjà ce qui semble se mettre en place dans Android 10 Q et dans iOS 13, les nouvelles moutures des deux systèmes d’exploitation mobiles attendues prochainement.

https://www.numerama.com/tech/526080-etes-vous-victime-de-cyberviolences-conjugales-voici-comment-les-detecter-et-se-proteger.html