Le géant chinois du commerce électronique Pinduoduo sous le feu des critiques pour des logiciels malveillants sophistiqués présumés exploitant les appareils Android

Global - Agence de presse Ekhbary

Le géant chinois du commerce électronique Pinduoduo sous le feu des critiques pour des logiciels malveillants sophistiqués présumés exploitant les appareils Android

Dans une révélation profondément troublante pour la confidentialité numérique et la cybersécurité, Pinduoduo, l'une des applications de shopping les plus populaires de Chine, comptant plus de 750 millions d'utilisateurs mensuels, est accusée de déployer des logiciels malveillants sophistiqués pour contourner la sécurité des téléphones mobiles. Une enquête approfondie indique que l'application aurait surveillé les activités des utilisateurs sur d'autres applications, accédé à des messages privés, vérifié des notifications et même modifié les paramètres de l'appareil sans le consentement de l'utilisateur, déclenchant des alertes importantes parmi les experts en cybersécurité du monde entier.

Ces découvertes sérieuses sont issues d'une vaste enquête de CNN, qui a impliqué la collaboration avec une demi-douzaine d'équipes de cybersécurité d'Asie, d'Europe et des États-Unis, ainsi que des informations d'employés actuels et anciens de Pinduoduo. Des experts de firmes de renom telles que WithSecure, Check Point Research et Oversecured ont vérifié indépendamment la présence de code malveillant au sein de l'application Pinduoduo, spécifiquement la version 6.49.0, qui a été distribuée via les magasins d'applications chinois fin février.

Mikko Hyppönen, directeur de la recherche chez la firme de cybersécurité finlandaise WithSecure, a décrit la situation comme "très inhabituelle" et "assez accablante". Il a déclaré : "Nous n'avons jamais vu une application grand public comme celle-ci tenter d'escalader ses privilèges pour accéder à des choses auxquelles elle n'est pas censée avoir accès." Cette "escalade de privilèges" est un élément clé du logiciel malveillant présumé, permettant à l'application d'acquérir des niveaux d'accès élevés aux données de l'appareil, contournant efficacement les fonctionnalités de sécurité inhérentes à Android. L'application aurait été conçue pour fonctionner de manière persistante en arrière-plan, résister aux tentatives de désinstallation et même collecter des informations sur les applications concurrentes en suivant leur utilisation et en extrayant des données.

Des initiés anonymes de l'entreprise, craignant des représailles, ont révélé que Pinduoduo aurait formé une équipe spécialisée d'environ 100 ingénieurs et chefs de produit en 2020. Leur mission présumée était d'identifier et d'exploiter les vulnérabilités des téléphones Android, en tirant parti de ces exploits pour un avantage concurrentiel et des profits. Initialement, cette équipe se serait concentrée sur les utilisateurs des zones rurales et des petites villes, évitant délibérément les grands centres urbains comme Pékin et Shanghai pour minimiser les risques de détection précoce. En amassant de vastes quantités de données utilisateur concernant les habitudes, les intérêts et les préférences, l'entreprise visait à affiner ses modèles d'apprentissage automatique, permettant des notifications push et des publicités hautement personnalisées pour stimuler l'engagement et les ventes. Cette équipe controversée aurait été dissoute début mars suite à un examen interne.

Sergey Toshin, fondateur de la startup de sécurité d'applications Oversecured, basée au Delaware, a qualifié le logiciel malveillant de Pinduoduo de "logiciel malveillant le plus dangereux" qu'il ait jamais rencontré dans une application grand public, le décrivant comme "super étendu". La recherche approfondie de Toshin a indiqué que l'application exploitait environ 50 vulnérabilités du système Android. Beaucoup de ces exploits ont été spécifiquement conçus pour le code du fabricant d'équipement d'origine (OEM), qui est souvent moins rigoureusement audité que le code du projet open source Android (AOSP) de base, le rendant plus susceptible aux vulnérabilités. Pinduoduo aurait également exploité plusieurs vulnérabilités AOSP, y compris une que Toshin a signalée à Google en février 2022, et que Google a ensuite corrigée en mars.

Ajoutant au défi de la détection, Check Point Research a identifié des méthodes sophistiquées utilisées par l'application pour échapper à l'examen. Celles-ci incluaient la capacité de pousser des mises à jour sans passer par le processus de révision standard de l'App Store, qui est conçu pour identifier et bloquer les applications malveillantes. De plus, certains plug-ins auraient dissimulé des composants potentiellement dangereux en les masquant sous des noms de fichiers légitimes, une tactique courante employée par les développeurs de logiciels malveillants avancés pour injecter du code malveillant dans des applications apparemment inoffensives.

Ces révélations surviennent au milieu d'un examen mondial intensifié des applications développées en Chine, en particulier TikTok, motivé par des préoccupations persistantes concernant la sécurité des données et les liens potentiels avec le gouvernement chinois. Bien qu'il n'y ait aucune preuve directe que Pinduoduo ait partagé des données avec Pékin, l'influence significative que le gouvernement chinois exerce sur les entreprises nationales a alimenté les inquiétudes parmi les législateurs américains. Ils craignent que toute entreprise opérant en Chine puisse être contrainte de coopérer avec les directives de sécurité nationale, soulignant une dimension géopolitique complexe à cette question.

La décision de Google de suspendre Pinduoduo de son Play Store en mars, citant des logiciels malveillants trouvés dans des versions de l'application hors Play Store, a souligné la gravité de la situation. Un rapport ultérieur de Bloomberg a corroboré ces préoccupations, indiquant qu'une entreprise de cybersécurité russe avait également identifié des logiciels malveillants potentiels. La société mère de Pinduoduo, PDD, n'a pas répondu aux demandes répétées de commentaires de CNN, bien que Pinduoduo ait précédemment nié "la spéculation et l'accusation selon lesquelles l'application Pinduoduo est malveillante".

La controverse jette inévitablement une longue ombre sur Temu, l'application sœur internationale de Pinduoduo en pleine expansion, qui a récemment atteint les premiers classements de téléchargement sur les marchés occidentaux, y compris les États-Unis. Les deux applications sont la propriété de PDD, cotée au Nasdaq. Bien que Temu n'ait pas été directement impliquée dans ces allégations spécifiques de logiciels malveillants, les actions attribuées à Pinduoduo risquent d'éroder la confiance des utilisateurs mondiaux et d'intensifier l'examen réglementaire de toutes les applications des développeurs chinois. Cela pourrait potentiellement entraver les plans d'expansion mondiale ambitieux de Temu et sert de rappel brutal des défis persistants pour la sauvegarde des écosystèmes numériques contre les menaces évolutives, et la relation complexe entre la technologie, la confidentialité et la politique internationale.

Agence de presse Ekhbary