Le mégastore en ligne chinois Temu a captivé les consommateurs avec son slogan gagnant : faire du shopping « comme un milliardaire avec un budget limité ».
Il s’agit de la branche mondiale du géant de la vente au détail Pinduoduo, qui a créé Temu pour prospérer en dehors de la Chine et qui compte environ 750 millions de clients chaque mois.
Le Sun a récemment révélé le coût réel des achats chez Temu, au milieu des craintes d’espionnage et de l’influence de Pékin.
Mais les experts en sécurité et les législateurs ont tourné leur attention vers l’application sœur de Temu, Pinduoduo (PDD), dont ils craignent qu’elle ne soit encore plus sinistre.
« Le téléchargement et l’utilisation de Temu pourraient présenter un risque potentiel pour la vie privée des clients, bien que ce risque ne soit pas, à l’heure actuelle, aussi grave que celui que pose Pinduoduo », a déclaré Ian Reynolds de la société de cybersécurité SecureTeam au Sun.
Temu demande 24 autorisations, dont l’accès Bluetooth et les informations Wi-Fi, ce qui, selon Reynolds, pourrait rendre les consommateurs vulnérables aux cyberattaques.
Pinduoduo est cependant beaucoup plus invasif, selon les experts, en particulier pour les utilisateurs d’Android.
D’autres sites de commerce électronique populaires comme Amazon, eBay et Etsy peuvent également collecter et partager des données clients, mais leurs pratiques ne sont pas aussi « étendues » que celles de Pinduoduo, a également commenté Marijus Briedis, directeur de la technologie chez NordVPN.
Logiciel malveillant avancé
Google a suspendu Pinduoduo de son Play Store en mars après avoir découvert des logiciels malveillants dans certaines versions de la plateforme de vente au détail provenant d’autres sources.
Simon Lardinois, chercheur principal en sécurité mobile chez Promon, société de sécurité des applications, a expliqué que l’application Pinduoduo disponible sur la boutique d’applications chinoise est en fait un malware avancé qui exploite un certain nombre de vulnérabilités de sécurité dans les appareils Android.
« Les vulnérabilités exploitées permettent à Pinduoduo d’extraire des informations sur les utilisateurs, de s’installer furtivement à partir de liens Web, d’empêcher les utilisateurs de le désinstaller et bien plus encore », a-t-il déclaré.
« Cela rend l’application beaucoup plus dangereuse qu’un malware Android classique, non seulement en raison de la sensibilité des informations qu’elle peut extraire (messages WeChat, historique des notifications et bien plus encore), mais également en raison de sa capacité à s’installer à l’insu de l’utilisateur. .»
Les applications normales ne devraient jamais être capables de faire cela – ou du moins pas à ce point, a déclaré Lardinois.
Mais Pinduoduo fonctionne « très différemment » de la plupart des applications, a-t-il poursuivi.
« Il exploitera un certain nombre de failles de sécurité sur l’appareil pour pouvoir faire des choses qu’il ne devrait normalement pas pouvoir faire », a expliqué Lardinois.
« Elle est capable d’obtenir des privilèges plus élevés qu’une application classique, lui permettant de s’accorder des autorisations, d’accéder à des parties du système auxquelles les applications n’ont pas accès, ou même aux données des autres applications, ce qui n’est normalement pas possible. »
Le malware prétendument trouvé dans Pinduoduo peut contourner des vulnérabilités jusqu’alors inconnues dans le logiciel des appareils.
Les chercheurs en cybersécurité ont suggéré qu’il s’agissait du « plan » de Pinduoduo pour accéder aux données des applications commerciales concurrentes.
Google Play Store
L’application Pinduoduo a été supprimée du Google Play Store.
Mais la capacité de l’application à se télécharger secrètement sur des appareils constitue une menace pour tous les utilisateurs de smartphones, et pas seulement pour ceux en Chine, affirment les experts.
« Il est peu probable que les Britanniques téléchargent volontairement la version malveillante de l’application, car elle n’est disponible que sur l’App Store chinois », a noté Lardinois.
« Ils sont beaucoup plus susceptibles de télécharger la version disponible sur le Google Play Store, qui ne présente pas de comportement malveillant.
« Cependant, il est possible que ces personnes soient « infectées » par la version du malware.
« Certaines des vulnérabilités exploitées par la version malveillante de PDD lui permettent de s’installer sur un appareil à partir d’un simple lien web ouvert dans le navigateur ou depuis des applications de messagerie tierces.
« Si cela devait se produire, ils seraient essentiellement confrontés aux mêmes risques que les Chinois, c’est-à-dire qu’une grande partie de leurs informations seraient extraites et qu’ils auraient du mal à désinstaller l’application. »
Bien qu’il soit peu probable que les Britanniques téléchargent volontairement l’application, ceux qui visitent la Chine pourraient accidentellement installer la version infectée de Pinduoduo, a émis l’hypothèse de David Emm, chercheur principal en sécurité chez Kaspersky.
« L’une des astuces utilisées par les auteurs de logiciels malveillants consiste à créer une application parfaitement normale, capable de se mettre à jour avec des fonctionnalités supplémentaires, dont certaines sont potentiellement malveillantes », a ajouté Emm.
« Pour cette raison, nous recommandons toujours aux utilisateurs de télécharger des applications auprès d’un développeur autorisé et de sources légitimes. »
Les fans du sideloading – la pratique consistant à télécharger des applications sur Android à partir de magasins d’applications non officiels – doivent également être très prudents, a noté Reynolds de Secure List.
« Télécharger Pinduoduo à partir d’une boutique d’applications non officielle serait extrêmement dangereux, car c’est à partir de ces sources que les logiciels malveillants ont été détectés à l’origine », a-t-il déclaré, ajoutant que les propriétaires d’Android devraient simplement éviter le chargement latéral.
Les propriétaires d’Android doivent vérifier l’application sur leur téléphone et la supprimer « immédiatement par mesure de précaution », a ajouté Reynolds, ainsi que garder un œil sur tout signe de malware sur leur appareil.
Pinduoduo et Temu n’ont pas pu être contactés pour commenter.
Meilleurs conseils et hacks pour téléphones et gadgets
Vous cherchez des conseils et des astuces pour votre téléphone ? Vous voulez trouver ces fonctionnalités secrètes dans les applications de médias sociaux ? Nous avons ce qu’il vous faut…
Nous payons pour vos histoires ! Avez-vous une histoire pour l’équipe Sun Online Tech & Science ? Envoyez-nous un e-mail à [email protected]