Les applications privées partagées sur la galerie Fitbit ne sont pas analysées à la recherche de code malveillant
La galerie Fitbit est un guichet unique pour les applications Fitbit approuvées, telles que Spotify ou Starbucks Card. Et bien que Fitbit analyse manuellement toutes les applications publiées de la Galerie à la recherche de logiciels malveillants, les applications "privées" partageables ne reçoivent pas le même traitement. Si quelqu’un vous envoie par e-mail un lien de téléchargement pour une application Fitbit, ignorez-le !
Fitbit permet aux développeurs de télécharger des applications "privées" dans la Galerie pour faciliter les tests. Malheureusement, toute personne disposant d’un lien de téléchargement peut installer une application privée. Les acteurs malveillants peuvent partager un lien de téléchargement privé pour diffuser des logiciels malveillants de collecte de données, une menace identifiée par Kevin Breen et rendue publique par BleepingComputer.
Kevin Breen, directeur de la recherche sur les menaces chez Immersive Labs, a téléchargé avec succès une application privée malveillante dans la galerie et l’a utilisée pour voler les données de localisation GPS, de fréquence cardiaque, de taille et d’âge des appareils de test. Sur Android, l’application malveillante pourrait également lire tous les calendriers connectés au Fitbit. Breen pourrait même configurer l’application pour analyser et accéder aux outils réseau tels que les routeurs et les pare-feu, grâce à l’API de récupération Fitbit.
Heureusement, Kevin Breen a soumis ses recherches à la société Fitbit, qui a répondu en ajoutant des avertissements aux téléchargements d’applications privées. Fitbit prévoit également de désactiver les autorisations d’applications privées par défaut, donnant aux utilisateurs le choix de fournir manuellement l’accès à leur âge, leurs contacts et d’autres informations. Comme toujours, Fitbit analyse les applications de la Galerie à la recherche de code malveillant avant qu’elles ne soient publiées sur la page publique de la Galerie.
Source: Kevin Breen via BleepingComputer