Premier prix au hit-parade du flicage, le Chinois Xiaomi avec son smartphone modèle RedMi 1S suivi de près par le Star N9500 qui expédient discrètement, soit au fabricant, soit à de mystérieux collecteurs d’informations, le numéro IMEI, l’Imsi et le nom de l’opérateur. Cette évaporation de données peut, dans certains cas être accompagnée d’exécutions à distance telles que la mise en fonction de l’appareil photo intégré. Rappelons que Xiaoming a littéralement « bouté Samsung hors de Chine » en devenant le premier vendeur de Smartphones de l’Empire du Milieu avec 15,5 millions de terminaux, soit 14% des ventes en Chine pour la période Q2 2014. Comparativement, Samsung prenait 12 % du marché, tout comme Lenovo et Yulong, tandis que Huawei plafonnait à 11 % du marché. On peut constater une très nette reprise en main du marché intérieur par les constructeurs nationaux comparativement à l’an passé. Les espérances de vente de Xiaomi sont de 60 millions de terminaux cette année, tous marchés confondus….
Blackphone, le téléphone sécurisé a été r00té par le talentueux @TeamAndIRC. Le défaut exploité autorise l’accès aux outils de debugging de l’appareil. La faille aurait été rendue possible grâce à l’examen préalable d’un appareil non-durci et non patché. Le patron de la sécurité de BlackPhone a su réagir avec intelligence, en rassurant ses usagers sans conspuer le chercheur en sécurité.
Les services d’urgence du 911 aux Etats-Unis, équivalent du 112 Français, sont vulnérables à un genre d’attaque camouflée très simple, affirment trois chercheurs (Christian “quaddi” Dameff, dr en médecine ; Jeff “r3plicant” Tully, idem ; et Peter Hefley de Sunera ). Leur présentation intitulée « Hacking 911: Adventures in Disruption, Destruction, and Death » explique qu’en temps normal, chaque appel aux services d’urgence est accompagné d’une collecte d’informations concernant l’appelant : numéro d’appel, parfois IMEI, géolocalisation en cas d’appel sur terminal mobile… Mais il existe un mode de fonctionnement qui échappe à ce flicage. C’est lorsque l’appareil mobile est configuré en mode TTY, utilisé notamment par les sourds et malentendants. Ce service purement textuel est, en cas d’appel du 911, centralisé par un fournisseur de services. La présence de cet intermédiaire filtre et supprime l’acheminement des informations de localisation, ce qui donne à l’appelant la possibilité de s’adonner aux plaisirs du canular de mauvais goût : envoyer des pompiers éteindre l’incendie d’une piscine, faire enfoncer la porte d’une célébrité ou d’un ennemi mortel par les forces d’interventions du Swat… et nos lanceurs d’alertes d’imaginer des scénarii dignes d’un blockbuster avec Bruce Willis : détournement de l’attention des forces de police durant l’attaque d’une banque, désorganisation des services hospitaliers sur bruit d’épidémie de peste bubonique… Durant la DefCon, Las Vegas se rapproche toujours un peu plus des studios d’Hollywood.
