Une autre app du Mac App Store transférait les historiques web sans permission
Quelques jours après la découverte d’Adware Doctor, une app qui volait l’historique des navigateurs web à l’insu des utilisateurs, une autre app au comportement similaire a été dénichée pendant le week-end sur le Mac App Store. Dr. Unarchiver, c’est son nom, avait comme première tâche d’ouvrir les fichiers ZIP et autres formats d’archives, mais à la fin du processus, elle proposait à l’utilisateur de scanner le Mac pour faire de la place. Dans le processus, elle récupérait aussi l’historique de trois navigateurs web, Safari, Chrome et Firefox, et envoyait cette information sur un serveur tiers, sans en informer son utilisateur.
Apple a rapidement retiré l’application après cette découverte, mais il y en a sans doute d’autres qui ont un comportement identique dans le Mac App Store. D’ailleurs, l’éditeur de Dr. Unarchiver, « Trend Micro, Incorporated », est accusé par des chercheurs en sécurité de récupérer des informations personnelles à l’insu de leurs utilisateurs dans toutes leurs apps. Actuellement, deux sont encore disponibles sur le Mac App Store, on ne sait pas si Apple a vérifié leur comportement et confirmé qu’elles agissaient de manière correcte, ou bien si elles sont encore passées sous le radar.
Ces deux exemples sont bien la preuve en tout cas que les mesures de protection imposées à toutes les apps du Mac App Store ne suffisent pas. Dans les deux cas, le sandboxing (bac à sable) était respecté, puisque les apps demandaient une autorisation pour accéder au dossier personnel de l’utilisateur, qui contient notamment l’historique des navigateurs. C’est pour cette raison que macOS Mojave resserre la vis en termes de sécurité et d’accès aux données, mais en attendant, le processus de validation de la boutique devait garantir que ce genre de comportements, techniquement possible, devait être bloqué.
Manifestement, ce processus a échoué à faire son travail et on ignore combien d’apps encore présentes dans la boutique volent les données des utilisateurs en toute impunité. Avant d’être supprimée du Mac App Store, Dr. Unarchiver était classée au douzième rang des apps les plus populaires aux États-Unis. En attendant de passer à macOS 10.14, méfiez-vous des apps qui demandent un accès complet à vos données, et privilégiez les apps les plus connues. Pour décompresser des archives par exemple, vous pouvez faire confiance à The Unarchiver.
C’est bien ce que je disais! Un de pris pendant que des dizaines continuent...
Une vraie passoire cette plateforme « sécurisée »...
@pagaupa
En même temps décompresser un fichier et permettre de scanner son ordinateur, faut vraiment être bête ...
@iPop
« En même temps décompresser un fichier et permettre de scanner son ordinateur, faut vraiment être bête ... »
Certes mais Apple devrait pourtant savoir qu’il devrait faire avec les c... ? et donc redoubler de vigilance pour eux ?
"En attendant de passer à macOS 10.14, méfiez-vous des apps qui demandent un accès complet à vos données"
Il me semblait que c’était logique de se poser la question quelle que soit son système d’exploitation et sa version et qu’elle que soit l’application...
Faut quand même dire que l’app demande à scanner....? un dezippeur qui scanne le disque dur ben voyons, reste que l’app store apple c’est pour Mme Michu, ça ne devrait pas arriver.
Mais que font-ils de ces informations ensuite ?
@powergeek
Dans la vie il y a les miniers (Google par exemple) et les chercheurs d’or. T’inquiète ils se débrouillent.
Typiquement:
- de la revente à toute personne qui paie (publicitaires, politiciens, escrocs, spammeurs, etc)
- du minage de donnée pour en savoir plus sur vous et vous matraquer avec un discours marketing
- créer des bases d'informations sur les usages pour améliorer leurs autres produits.
Ces infos là ont de la valeur, la moindre des politesse serait de les PAYER. Les éditeurs ne devraient pas se cacher derrière un vague "gratuit" mais _acheter_ ces données aux gens.
si ça a de la valeur et de toute évidence ça en a vu les efforts farfelus pour les obtenir, alors un individu a un intérêt immédiat à les VENDRE au prix FORT.
-
info flash: comme tout le monde, j'ai un prix pour m'acheter, il est juste inabordable. (2 ou 3 masses solaires d’hélium en gros).
Vos données perso sont peut-être chères pour vous. Mais pour combien un de vos amis ou famille vous a fiché sur ses contacts Gmail ?
"Vos données perso sont peut-être chères pour vous. Mais pour combien un de vos amis ou famille vous a fiché sur ses contacts Gmail ? »
vous sous-estimez la folie et les lubies qui me sont propres. Typiquement, je fais peu de cas de ma famille « étendue », et ils n’ont guère d’infos sur moi à « ficher ».
Mon nom personnel n’est pas un secret. Je veux dire même les services des impôts le possèdent (!).
Les relations de familles entre personnes sont certainement connus par Facebook (d’avantage que google dans le cadre de ce qui vous décrivez) et cela se limite qu’à ça.
Donc non, je n’adhère pas à l’argument « t’y peux rien, c’est la Fatalité, contentons nous de mourir dans les bois lol ».
-
Les données personnelles sont hyper chères, et il faut soit tromper les gens soit leur fournir des outils sophistiqués et onéreux en gratuit pour les obtenir, ou voler/corrompre un service d’Etat. La preuve, c’est que vous me donnez pas les informations personnelles que je désire avoir sur vous:
- vos actifs immobiliers
- votre salaire brut
- votre adresse perso et les dates où vous partez en vacance
- vos comptes bancaires et suffisamment d’infos pour tenter une fraude sur les organismes de crédits rapides (m’en fous de voler des sous à vous, je veux juste suffisamment longtemps obtenir un crédit en votre nom pour obtenir une somme quelconque. L’interdit bancaire tombera sur vous ou un homonyme, on s’en fout)
- vos habitudes quotidiennes pour éventuellement tenter une arnaque contre vous ou vos proches/voisins/autres. L’imagination est sans limite.
@powergeek
Il les revendent à des boites comme WebSimilar...
Mais surtout j’imagine la situation en dehors de l’appStore, sans aucune vérification de quiconque, ça fait peur.
@DeluxePainter
"Mais surtout j’imagine la situation en dehors de l’appStore"
Paradoxalement, elle est bien plus saine.
Les seuls éditeurs vraiment visibles tiennent sont en général des gens sérieux qui tiennent à leur réputation...
Une application gratuite ou manifestement à prix bradés par rapport aux applications de références, et donc avec anguille sous roche, ça se voit que dans le store.
Je fais bien plus confiance à un éditeur connu qui a sa boutique sur le net qu'à ces obscurs du store.
@Bigdidou
IDEM.
Mais Trend Micro a aussi sa propre boutique et site, souvent d'une grande opacité sur le produit.
Trend Micro n'est pas un inconnu.
@Bigdidou
Justement, les apps de référence, quand on débarque d'un Linux ou d'un Windows, on se retrouve souvent comme un gland à base de "je prends quoi à la place de gedit/Notepad++?" Pareil pour 7zip et Fileroller. (D'ailleurs, les gestionnaires d'archive sur Mac sont super chiants : pas moyen d'ouvrir l'archive et d'y sélectionner un seul fichier - non, il faut tout extraire et bien avoir préparé le sous-dossier à l'avance - c'est bête d'ailleurs, Dr. Unarchiver avait l'air de répondre à cette critique).
Quand on débarque sur Mac, on sait pas forcément que The Unarchiver et TextWrangler sont des références (d'ailleurs, ce dernier a des comportements un peu chiants, je suis toujours à la recherche d'un éditeur de texte graphique super simple avec coloration syntaxique à la Notepad++, et j'ai déjà dit ce que je reproche à The Unarchiver), et le réflexe de base, surtout pour des gens qui ont déjà des iDevices, c'est d'aller dans le Mac App Store (mais on se rend très vite compte que l'herbe est plus verte en-dehors de celui-ci, pour peu qu'on soit un utilisateur un tant soit peu avancé).
Et comme le dit oomu, Trend Micro, c'est pas des inconnus... Je suis assez surpris qu'ils aient fait ça, ils se sont tiré une sacré balle dans le pied, là !
@Plastivore
"Et comme le dit oomu, Trend Micro, c'est pas des inconnus... Je suis assez surpris qu'ils aient fait ça, ils se sont tiré une sacré balle dans le pied, là !"
Oui, je sais pas, c'est bizarre.
Ils ne mentionnent pas ces apps sur leur site, ou alors j'ai mal cherché.
@Plastivore
Keka est bien version 1.0.16
la plus récente demande un accès à ...
@DeluxePainter
Le drame de l'appStore c'est qu'il donne confiance aux acheteurs!
Une application validée par Apple, même si le développeur est parfaitement inconnu, on imagine qu'elle est parfaitement sûre!
Et ce n'est pas les conseils de méfiance face aux utilitaires demandant à scanner le disque et à saisir son mot de passe administrateur qui changeront quelque chose. En effet, ce n'est pas un hasard si la plupart de ces malwares se font passer pour des antivirus, antimalwares ou utilitaires de nettoyage. Pour ce type d'action, leurs demandes semblent parfaitement légitimes et l'utilisateur donne tout sans aucune crainte.
Et un libotomisé pour la table 6, et un!
Viré, comme les autres apps de Trend-Micro : Dr Cleaner et Dr Antivirus. Si une le fait, pourquoi pas les autres ?
Je leur rends la pareille : voici leur adresse en France
85 av Albert 1er 92500 RUEIL MALMAISON
@ysengrain
Ça doit, comme très souvent, n’être qu’une boîte postale. Surtout à Reuil, qui est spécialisé dans ce genre de bâtiment ;-)
ha, Trend Micro, un éditeur que je ne supporte pas depuis heu... hmmm.. 30 ans ? O_o
Ahhhh ces chinois
vous confondez tous les asiatiques ?
Moi c’est pareil, les italiens, suisses, allemands, vénézuéliens des andes, c’est informe et similaire, deux yeux, une bouche, franchement banal.
C’est beau provenant d’une société de « sécurité » informatique... chapeau..
Trend micro si je me trompe pas c’est l’antivirus choisi par l’Education Nationale.
@ Nesus: non !! J’ai travaillé dans l’immeuble voisin pendant trèèès longtemps
Il s’agit d’un bâtiment sans étage où vont et viennent « des gens »
Sans être parano, il faut être TOUJOURS attentif aux dialogues sollicités par les applications.
Et ce méfier un peu plus des applications gratuites d’origines incertaines. Quand c’est gratuit...
« boutique devait garantir que ce genre de comportements, techniquement possible, devait être bloqué. »
Je ne comprends pas cette phrase ! Lorsqu’une application est autorisée par l’utilisateur à effectuer certaines actions en quoi la boutique est responsable ?
Sinon j’attends de pied ferme qu’Apple oblige les éditeurs à demander l’autorisation pour certains outils : HockeyApp (Microsoft), Crashlytics (Google), Facebook...