Virus sur mobile : imposture ou réalité ?

Le monde est accro au téléphone. Pour beaucoup, le portable est devenu un accessoire indispensable du quotidien. Selon Wireless Intelligence, on compterait déjà 2 milliards d'utilisateurs de téléphones mobiles et le cap des 3 milliards devraient être atteint à l'horizon 2010. D'après McAfee cette fois, plus de 95 % des téléphones portables acceptent les SMS, J2ME (Java 2 Micro Edition) a été déployé sur 1,2 milliard d'appareils et enfin près de la moitié des abonnés utilisent la messagerie vocale.

Pourquoi un éditeur de la sécurité s'intéresse-t-il aux statistiques de la téléphonie ? Parce que McAfee, comme plusieurs de ses concurrents, voient le mobile comme une menace en devenir. Opération marketing de la part de fournisseurs de solutions sur un risque encore bien incertain, réalité ou hypothèse crédible ?

En février 2006, 267 codes malveillants pour smartphones ont été répertoriés. Officiellement, seule une trentaine sont efficaces et seulement 5 seraient réellement actifs, lit-on dans l'ouvrage intitulé Cybercriminalité, Enquête sur les mafias qui envahissent le Web, co-écrit par Eric Filiol.

"On en est encore aux balbutiements, ce qu'on appelle un proof of concept. Ces virus sont souvent l'œuvre de personnes qui s'essayent à manipuler du code ou à des nouvelles techniques, des scripts kiddies. Toutefois, d'ici 6 mois à 1 an, les pratiques vont probablement se professionnaliser comme c'est actuellement le cas concernant les PC. Et de la même manière, il ne s'agira pas nécessairement de virus, mais plutôt de spams, de chevaux de Troie et de phishing", déclarait dans un précédent entretien, François Paget, chercheur pour le compte de McAfee.

Si d'un point de vue technique, le risque semble réel, sur un plan opérationnel, le flou persiste. Les opérateurs sont a priori les plus à même d'en apprécier la réalité. "Mais les opérateurs adoptant une technique de sécurité par l'obscurité, on ne sait s'ils ne disposent pas déjà de mécanismes de protection ou de procédures. Mêmes les infrastructures de télécommunication sont relativement méconnues. J'ai du mal à imaginer qu'ils n'aient rien prévu pour éviter d'éventuelles attaques par saturation", regrette Eric Filiol.

Mais si la menace gagnait en consistance au fil des mois, voire des années, quels types d'attaques sont à redouter ? "Ce que nous pressentons, c'est plutôt une attaque dite hybride, mettant à la fois en œuvre la téléphonie mobile et le monde du PC conventionnel", pronostiquait François Paget. Une prévision confirmée par le premier cas de SMiShing ou phishing aidé par la téléphonie mobile.

Des utilisateurs islandais et australiens ont ainsi reçu un SMS les avertissant qu'ils devraient s'acquitter de deux dollars par jour pour leur inscription à un site de rencontre. Le message leur proposait de résilier ce contrat grâce un lien hypertexte de désinscription. La page ouverte depuis un ordinateur classique provoquait la contamination par un programme malveillant.

L'ingénierie sociale s'applique de la même façon sur mobile et sur PC, comme en atteste par exemple le virus Skulls.L. En se présentant comme une version antivirus sur mobile, ce dernier est parvenu à abuser un certain nombre d'utilisateurs. Un bienfait pour les pirates puisque les codes mobiles pour s'exécuter nécessitent l'interaction avec l'utilisateur. Celui-ci doit en effet valider les opérations pour être contaminé, contrairement à l'univers PC dans lequel des vers peuvent se répandre via l'exploitation de faille. Ce fut notamment le cas de Blaster.

"Nous allons certainement vers des codes multiplateformes, un phénomène favorisé par l'interconnexion des systèmes, qu'ils soient mobiles ou non. Les virus suivent finalement l'évolution des technologies. Le phishing également s'adapte au monde du portable. Il ne s'agit en fait de rien de plus qu'une évolution, et non d'une révolution. Ce n'est que la transposition de concepts existants à des environnements nouveaux", conjecture Eric Filiol.

"Les antivirus ne seront de toute façon pas une solution au problème, à l'image de ce qu'ils sont dans le monde PC. Au plus, détecteront-ils les 20 derniers virus les plus actifs. Les mobiles ne disposent que d'une puissance de calcul limitée, ce qui obligera les éditeurs à alléger les fonctionnalités de leurs solutions. Les applications existantes se limitent d'ailleurs à la simple analyse de signature. Et donc les code malveillants auront toujours une longueur d'avance", conclut-il.