Faille Telegram sur Android : un appel vocal suffit pour piéger
Une faille Telegram sur Android permettait d'exécuter du code à distance dès qu'un utilisateur décrochait un appel vocal.
Une faille Telegram vient d’être rendue publique. Elle touchait l’application Android. Ainsi, un attaquant pouvait exécuter du code sur le téléphone de sa victime. Il lui suffisait de l’appeler via la messagerie. En effet, le code s’exécutait dès que la victime décrochait. La découverte est attribuée à NebuSec, une jeune société spécialisée en sécurité.
Cette vulnérabilité est préoccupante pour une raison simple. En effet, elle ne demande ni piratage préalable du compte ni manipulation complexe. Un compte Telegram ordinaire suffit donc à l’attaquant.
Une faille Telegram déclenchée par un simple appel
Le scénario décrit par NebuSec est particulièrement direct. D’abord, l’attaquant ouvre un compte Telegram classique, sans privilège particulier. Ensuite, il lance un appel vocal vers la cible. Si la personne répond, le code de l’attaquant peut s’exécuter sur son appareil Android.
Autrement dit, le geste le plus banal d’une messagerie devient le point d’entrée. Décrocher un appel est un réflexe. En effet, il n’y a pas de fichier suspect à ouvrir ni de lien à cliquer.
Par ailleurs, l’exécution de code à distance figure parmi les failles les plus graves. Elle donne à l’attaquant une prise de contrôle partielle ou totale de l’application, voire davantage selon le contexte. Toutefois, les informations disponibles ne précisent pas l’étendue exacte des actions possibles après l’exploitation.
Chronologie de la faille Telegram et correctif 12.10.4
Telegram a corrigé le problème dans la version 12.10.4 de son application Android. Cette mise à jour a été publiée fin septembre. En revanche, NebuSec n’a divulgué la vulnérabilité que le 29 octobre.
Ce délai d’environ un mois est courant en sécurité informatique. Ainsi, les utilisateurs ont le temps d’installer le correctif avant la publication des détails. En effet, une divulgation immédiate aurait offert aux attaquants un mode d’emploi.
Voici les points datés à retenir :
- fin septembre : publication de Telegram pour Android 12.10.4, qui corrige la faille ;
- 29 octobre : divulgation publique par NebuSec ;
- toutes les versions antérieures à 12.10.4 sont concernées, d’après la divulgation.
Notons que les informations dont nous disposons ne mentionnent aucun identifiant CVE. De plus, elles n’indiquent pas la première version touchée. Par conséquent, la prudence impose de considérer comme exposée toute installation non mise à jour.
Pourquoi ce scénario inquiète les experts
D’abord, la barrière d’entrée est très basse. N’importe qui peut créer un compte Telegram. L’attaquant n’a donc pas besoin de compromettre un contact de confiance. Il n’a même pas besoin de connaître sa cible de près, tant qu’il peut la joindre.
Ensuite, l’interaction demandée à la victime est minime. Répondre à un appel ne déclenche aucun réflexe de méfiance. En revanche, les campagnes de phishing classiques reposent sur un clic, que les utilisateurs apprennent à éviter. Ici, le piège repose sur un geste quotidien.
Enfin, Telegram compte un très grand nombre d’utilisateurs sur Android. Une faille touchant les appels vocaux concerne donc un public vaste. Les profils sensibles sont particulièrement exposés. C’est le cas, par exemple, des journalistes, des militants ou des cadres dirigeants. Ces personnes sont souvent visées par des attaques ciblées.
Toutefois, rien dans les éléments fournis n’indique une exploitation active avant la correction. Aucun groupe malveillant n’est cité. De plus, la divulgation intervient après la publication du correctif. Par conséquent, le risque est limité pour les utilisateurs à jour.
Recommandations pour les utilisateurs
La mesure la plus efficace est aussi la plus simple. Il faut donc mettre à jour Telegram sans attendre.
- Ouvrez le Google Play Store et recherchez Telegram.
- Vérifiez que la version installée est au moins la
12.10.4. - Activez les mises à jour automatiques pour ne plus avoir à y penser.
De plus, vous pouvez réduire votre exposition aux appels indésirables. Dans les paramètres de confidentialité de Telegram, la rubrique consacrée aux appels permet de choisir qui peut vous joindre. Ainsi, limiter cette option à vos contacts réduit sensiblement la surface d’attaque. Cette précaution ne remplace pas la mise à jour. Néanmoins, elle apporte une protection supplémentaire.
En outre, ne répondez pas aux appels de numéros ou de comptes inconnus. Cette règle de bon sens vaut pour toutes les messageries. Les équipes de sécurité des entreprises devraient également vérifier le parc de terminaux Android. Elles pourront ainsi repérer les installations de Telegram obsolètes.
Ce qu’il faut retenir
- Une faille de Telegram pour Android permettait d’exécuter du code via un appel vocal décroché par la victime.
- Un compte Telegram ordinaire suffisait à l’attaquant.
- Le correctif est disponible depuis la version 12.10.4, publiée fin septembre.
- NebuSec a divulgué la faille le 29 octobre.
- Mettez l’application à jour et restreignez les appels aux seuls contacts connus.
Source : Telegram Android Flaw Lets Attackers Run Code When Users Answer Voice Calls