En bref
- Un SMS manipulé peut faire planter les téléphones Android, même pendant les appels d’urgence
- Un seul SMS a provoqué des pannes pendant une semaine au maximum lors des tests
- On ignore si les opérateurs suisses filtrent ce type de SMS; les mises à jour disponibles doivent être installées
Un seul SMS suffit à paralyser un téléphone Android, et des millions d’appareils pourraient être concernés. C’est ce qu’affirme le chercheur en sécurité informatique Mark Blaszczyk, qui a découvert la faille et l’a baptisée «SMS of Death» («SMS de la mort»). Le message piégé fait planter la partie du système Android chargée des appels téléphoniques. Selon le chercheur, les conversations en cours sont coupées et même les appels d’urgence deviennent impossibles.
La victime n’a rien à faire, pas même à cliquer sur un lien. Elle ne remarque d’ailleurs rien: le SMS n’apparaît jamais dans la boîte de réception et le numéro de l’expéditeur reste masqué.
Un message qui tourne en boucle
Comment est-ce possible? L’attaque exploite une catégorie particulière de SMS, les messages dits «WAP Push». Les opérateurs mobiles s’en servent pour envoyer aux téléphones des commandes invisibles, comme des paramètres réseau. Le «SMS de la mort» annonce une longueur négative. Android ne sait pas traiter cette valeur et le système plante.
Les opérateurs renvoient généralement les messages dont la réception n’a pas été confirmée, si bien que le processus se répète. Lors des tests de Mark Blaszczyk, un seul SMS a provoqué des pannes pendant une semaine au plus. Selon lui, une vingtaine de messages de ce type suffisent à rendre le téléphone pratiquement inutilisable. L’appareil redémarre alors environ toutes les 90 secondes. Il finit par afficher un menu de récupération qui propose d’effacer toutes les données. Le chercheur a notamment mené ses essais sur un Google Pixel 9 et sur plusieurs modèles Samsung. Il assure que l’attaque a fonctionné à chaque fois.
Google a d’abord minimisé le problème
Mark Blaszczyk dit avoir signalé la faille à Google le 5 mai. Le groupe n’y a d’abord pas vu de problème, avant de la classer comme critique. La mise à jour d’Android d’octobre l’a corrigée dans les versions 14 à 17. En revanche, Android 12 et 13 ne sont plus pris en charge et restent probablement vulnérables. Comme toujours avec Android, ce sont les fabricants qui doivent distribuer eux-mêmes les mises à jour du système. Il est donc possible qu’elles ne soient pas encore disponibles pour tous les smartphones concernés.
Plus inquiétant encore: Mark Blaszczyk a publié en ligne un outil fonctionnel, qu’il qualifie lui-même d’«arme». Celui-ci serait destiné uniquement à la recherche et à des tests sur ses propres appareils. Quiconque l’utiliserait contre des tiers commettrait une infraction.
Et la Suisse?
Pendant des années, tous les MMS ont aussi transité par WAP Push en Suisse. Swisscom, Salt et Sunrise ont depuis désactivé ce service, Sunrise en dernier, en mars 2024. Cette désactivation ne met pas pour autant les utilisateurs à l’abri. La faille se trouve dans le logiciel du téléphone, et le message piégé transite par le réseau mobile ordinaire.
Swisscom indique avoir «pris des mesures temporaires» pour protéger sa clientèle, sans préciser lesquelles. Sunrise se montre plus précis: l’opérateur bloque les SMS dits binaires, c’est-à-dire les messages qui contiennent des données cachées au lieu de texte. Le «SMS de la mort» en fait partie. Selon Sunrise, sa clientèle serait ainsi «correctement protégée». Salt souligne de son côté que la protection doit avant tout être assurée sur l’appareil lui-même: «Les mesures de filtrage au niveau du réseau peuvent offrir une protection supplémentaire, mais elles ne remplacent pas les mises à jour de sécurité de l’appareil.»
Comment se protéger
Le plus important est d’installer sans attendre les mises à jour disponibles. Si votre téléphone est déjà pris dans la boucle de redémarrage, ne sélectionnez surtout pas «Wipe data» dans le menu de récupération, car vous perdriez toutes vos données.
Il est possible de les sauver, mais l’opération demande de solides connaissances techniques. Il faut relier le téléphone à un ordinateur, puis supprimer à la main les messages malveillants à l’aide d’un logiciel destiné aux développeurs. Pour un profane, c’est pratiquement impossible.
