Carrier IQ : le rootkit qui sait tout ce que vous faites sur votre téléphone

Carrier IQ est une entreprise qui a développé un rootkit capable de récupérer tout ce que l’utilisateur fait sur son téléphone. Il est exploité par des OEMs, comme Samsung ou HTC. Pour être plus précis, il est directement chargé dans les kernels des interfaces Sense et TouchWizz et semble alors introuvable… sauf pour un dénommé TrevE, membre du célèbre site communautaire XDA. Ayant communiqué les effets de ces logiciels, il risque aujourd’hui  entre 750$ et 30 000$ d’amende pour violation de données.

TrevE a récemment mis sur son site internet les conséquences de cet outil développé par Carrier IQ.

A l’origine, comme c’est écrit sur le papier, le but principal de cet outil serait d’obtenir des informations afin de dépanner ou améliorer  les performances du système et du réseau. Un outil génial pour les administrateurs systèmes ! Il pourrait alors prendre la forme d’un simple sondage que l’utilisateur remplirait et serait directement envoyé aux personnes compétentes. Ca devrait ressembler à ça :

C’est tout beau, personne n’a peur et on vit tous dans un paradis rose ! Non. En réalité, l’outil développé par Carrier IQ ressemble à ça :

Pleins de codes où on ne pige que dalle. Mais ces codes correspondent à des intents (traduisez par « actions de l’utilisateur ») décrits comme ci-dessous :

Known triggers found on HTC Phones:

Key in HTCDialer Pressed or Keyboard Keys pressed:
Intent – com.htc.android.iqagent.action.ui01

App Opened – 
Intent – com.htc.android.iqagent.action.ui15

[…]

Call Received – 
Intent – com.htc.android.iqagent.action.ui15

Media Statistics – 
Intent – com.htc.android.iqagent.action.mp03

Location Statistics – 
Intent – com.htc.android.iqagent.action.lc30

Known Samsung triggers provided by XDA member k0nane :

UI01: screen tapped in any location, or InputMethod (any soft keyboard) key pressed.

NT10: HTTP request read.

Il est ainsi possible pour les constructeurs de connaître différentes actions réalisés par l’utilisateur, comme, par exemple, savoir si son écran est éteint, si un appel a été reçu, si des paquets http ont été envoyés etc….

Concrètement et pour faire un bref résumé, l’ensemble des actions que vous effectuez sont enregistrées et envoyées sur des serveurs où des administrateurs réseaux collectent ces données.

« Mais je m’en moque que quelqu’un sache que mon téléphone se soit éteint à ce moment-là ». Sauf que ce « quelqu’un » peut très bien savoir où vous vous trouviez à 10 heures du matin, lorsque vous avez effectué un appel, les jeux auxquels vous avez joué juste avant ou encore combien de textos vous avez envoyés avant de parvenir à cet appel. Il semblerait également que tout ce que vous avez tapé au clavier soit enregistré. Un keylogger présent sur vos téléphones. Et tout ça grâce à un rootkit développé par Carrier IQ. Une autre image pour confirmer mes dires :

Il est aujourd’hui impossible de l’enlever. S’il est présent dans les kernels de TouchWizz et de Sense, le fait de le supprimer pourrait porter préjudices à d’autres bouts de code qui l’utilisent et pourrait alors endommager le système entier.

C’est donc évidemment à votre insu, sans votre consentement et sur la plupart des téléphones que ce problème existe. Toutes ces informations seraient revendues à des fins commerciales et il semble que nous continuons à être une victime de ce business qui nous agace depuis des années. Sauf que là, nous n’avons rien demandé à personne. En plus d’un problème de confidentialité de données, le keylogger se charge de s’occuper du problème de sécurité.

Je souhaite maintenant revenir sur TrevE. Après avoir découvert cette faille, il a directement publié sur son site internet les différentes informations à propos de celle-ci. La news a été reprise par XDA avec qui il travaille conjointement. L’histoire n’a alors pas dépassé ce stade et ne s’est pas beaucoup répandue sur la toile. Jusqu’à ce que Carrier IQ ait écho de cela et envoie une lettre à TrevE lui demandant de retirer toutes les informations concernant l’entreprise Carrier IQ, de dire que celles-ci n’atteignent en aucun cas l’utilisateur, qu’elles ne sont pas traitées à des fins malicieuses et qu’elles sont complètement fausses. Il doit également présenter des excuses publiques à l’entreprise.  Tout ça à faire en 24 heures sous peine d’être porté en justice, impliquant des frais considérables (avocats et compagnie). Heureusement, TrevE a eu le temps de demander de l’aide auprès de l’Electronic Frontier Foundation (équivalent de l’EUCD en Europe) qui a répondu favorablement.

En effet, TrevE a tout simplement utilisé son droit à la liberté d’expression. En aucun cas, il n’est allé pirater le site internet ou les serveurs de Carrier IQ. Il est juste allé trifouiller dans son téléphone et ne peut ainsi pas être condamnable pour ces faits là. L’utilisation de documents sous protection (copyright) n’est autorisée que pour réaliser des « critiques, commentaires, publications de contenu », mais également pour effectuer de la recherche ou dans le cadre de l’éducation. L’EFF en a donc jugé ainsi.
Il ne reste plus qu’à attendre la réponse de Carrier IQ. Des explications de la part de Samsung et d’HTC seraient également la bienvenue. Enfin, notons que le siège social de l’entreprise incriminée ici est à 10 minutes des locaux de Google…

Dernière précision,  ce rootkit semble également être utilisé dans certains smartphones de RIM ou de Nokia.

Source : XDA 1ère partie, XDA 2ème partie.