Sur Android, des applications peuvent capturer l’écran en trompant l’utilisateur

La société de sécurité MWR Labs prévient qu’à partir d’Android Lollipop (5.x), jusqu’à Nougat (7.x), les applications peuvent exploiter le service MediaProjection pour enregistrer le contenu de l’écran, sans que l’utilisateur ne s’en rende compte.

Au moment de l’activer, une fenêtre modale exige une autorisation, mais un développeur peut placer un texte arbitraire en surimpression pour le tromper. Le problème est réglé pour Android 8.0, mais il n’est pas dit que les plus anciennes versions, encore majoritaires, bénéficieront d’un correctif.

Les développeurs peuvent ajouter le flag FLAG_SECURE à leurs applications, pour empêcher toute capture de l’écran. Les utilisateurs peuvent repérer cet enregistrement par l’activation non sollicitée de la fonction Cast (dans les options accessibles en haut d’écran).