Un malware rend accessible à tous les informations de ses victimes

Si vous éprouvez des difficultés à faire confiance à votre conjoint ou à vos enfants, vous pourriez être tenté d’installer sur leur appareil un logiciel espion. Il s’agirait pourtant d’une grave erreur, pour plusieurs raisons.

Si les ransomwares, spywares et autres logiciels malveillants sont des préoccupations de plus en plus importantes dans notre monde moderne, il n’est cependant pas toujours nécessaire d’être confronté à ce type d’attaque pour voir sa vie privée dévoilée au grand jour. Dans le marché juteux de la jalousie et du manque de confiance existe un type de logiciel dénommé « stalkerwares » qui, comme leur nom le laisse supposer, servent à espionner et à surveiller les personnes de son entourage, qu’il s’agisse d’un enfant, d’un conjoint ou encore d’un employé.

Big Brother vous observe… littéralement
Contrairement aux malwares classiques, ces stalkerwares sont facilement accessibles à tous via de simples pages internet, où l’installation du logiciel sur l’ordinateur de la victime suffit à compromettre la machine. Si ces logiciels sont déjà la cible de nombreuses accusations concernant leur éthique, ils sont également régulièrement pointés du doigt pour leur incapacité à protéger les données qu’ils volent. Le logiciel qui subit aujourd’hui les foudres des chercheurs en cybersécurités se dénomme « pcTattletale ». Son nom désigne en anglais une personne allant dénoncer aux autorités un mauvais comportement. Il est présent sur Windows et Android.

Le logiciel se présente comme étant un logiciel de surveillance en ligne des employés et des enfants. Il fonctionne de manière invisible en arrière-plan sur les appareils sur lesquels il est installé et est difficile à détecter. Le programme prend régulièrement des captures d’écran qui sont ensuite accessibles par le « surveillant ». Le logiciel se targue d’un slogan glaçant : « Ils n’auront aucune idée que vous pouvez voir tout ce qu’ils font ».

Aucune protection sur les images volées
Le chercheur Jo Coscia a rendu publique une faille de sécurité présente dans pcTattletale qui permet à quiconque disposant de l’URL d’une capture d’écran d’y accéder sans qu’il ne doive à aucun moment rentrer des identifiants. Le logiciel se contente d’envoyer les données des victimes sur un serveur AWS non chiffré.

Si les images ne sont pas visibles dans un dossier accessible en un seul clic, le chercheur a toutefois prouvé qu’une attaque par force brute permettait de facilement mettre la main sur un grand nombre d’images. Aucune mesure de protection, aucune limitation du nombre de téléchargements ou de la vitesse n’est présente pour éviter ce type d’attaque.

Méfiez-vous donc des logiciels qui vous permettent d’espionner d’autres personnes et d’accéder à des données sensibles. Ce type de vulnérabilité est malheureusement trop fréquent dans ce type de logiciel, en plus d’offrir un service à la moralité plus que discutable. Récemment, le logiciel Spyfone avait lui aussi été pointé du doigt pour son manque de sécurité, avant d’être banni des États-Unis par la FTC.