Smartphone Samsung/Sécurité : Enjeux via faille code USSD : pour effacer à distance toutes les données.

Les codes USSD sont le plus souvent utilisés pour envoyer des informations via le réseau GSM. Via ces codes à la syntaxe (*3855#), on peut par exemple consulter le crédit disponible auprès de l'opérateur mobile,configurer des différentes options (bonus…).
C’est donc via ce dispositif que se trouve la faille susceptible de conduire à la suppression à distance des données dans un Smartphone Samsung.
Normalement, le code est secret, et la fonctionnalité est implémentée par plusieurs fabricants permettre une remise à zéro du Smartphone à distance. Sauf que le code est devenu public. Samsung par exemple intègre cette fonctionnalité dans sa surcouche TouchWizz
En effet, via un simple SMS "wap push", un QR code, une connexion NFC ou un lien dans un message Twitter , pour voir l'intégralité des données et des paramètres stockés dans un Samsung Galaxy S3 s'envoler .
La faille a été découverte par c0rnholio, qui en a fait la démonstration à la conférence de sécurité Ekoparty 2012.
Il s'agit de (*2767*3855#), pour révéler la faille. La manipulation fonctionne également sur Galaxy S2, Galaxy Beam, Galaxy S Advance et Galaxie Ace.
Le laxisme de Samsung en matière de sécurité émerge donc au grand jour car, normalement avant de supprimer les données du téléphone, il devrait y avoir une demande de confirmation. Ce qui n'est pas le cas, comme le montre la vidéo ci-dessous.
 
Cependant afin d’éviter les risques en attendant une correction par Samsung, Silent Services préconise une méthode de résolution. Elle consiste à se rendre dans les options de l'application de messages, puis dans les options de messages Push.
Il est ensuite possible de demander à l'application de demander systématiquement que faire à la réception d'un SMS "wap push". L'attention portée aux liens suivis et à leur origine reste également plus que jamais d'actualité.