Une faille dans Unity Android pourrait vider les portefeuilles crypto des joueurs : comment se protéger

La plateforme de jeux Unity déploie discrètement une correction pour une vulnérabilité qui permet à du code tiers de s’exécuter dans les jeux mobiles sous Android, ce qui pourrait potentiellement cibler les portefeuilles crypto mobiles, selon deux sources anonymes.

La vulnérabilité affecte des projets remontant à 2017, selon les sources, qui ajoutent que la vulnérabilité touche principalement Android, mais que les systèmes Windows, macOS et Linux sont également affectés à des degrés divers.

Unity a commencé à distribuer des correctifs et un outil de correction autonome de manière privée à certains partenaires sélectionnés, selon les sources, mais des instructions publiques ne sont pas attendues avant lundi ou mardi de la semaine prochaine.

Cointelegraph a contacté Unity pour obtenir plus d’informations, mais n’a pas reçu de réponse immédiate.

Un porte-parole de Google a déclaré à Cointelegraph qu’ils étaient au courant de la vulnérabilité.

« Unity met à disposition un correctif pour les développeurs d’applications afin de résoudre ce problème, et les développeurs doivent mettre à jour leurs applications immédiatement », a déclaré le porte-parole.

« Google Play soutiendra les développeurs pour qu’ils publient des versions corrigées de leurs applications aussi rapidement que possible. Selon nos détections actuelles, aucune application malveillante exploitant cette vulnérabilité n’a été trouvée sur Play », a-t-il ajouté.

Unity est l’un des moteurs de jeu les plus populaires au monde

Unity Technologies, basée à San Francisco, est à l’origine de Unity, une plateforme de référence proposant des outils pour permettre aux créateurs de concevoir et développer des jeux, applications et expériences en temps réel sur de multiples plateformes. Selon l’entreprise, Unity alimente plus de 70 % des mille jeux mobiles les plus populaires, et plus de 50 % des nouveaux jeux mobiles sont créés avec Unity.

Harold Halibut : l’un des derniers jeux réalisés avec le moteur Unity. Source : Unity

Menace potentielle pour les portefeuilles crypto

Les sources ont décrit la menace comme une « injection de code en cours de processus », sans toutefois confirmer si les appareils pouvaient être totalement compromis. Cependant, les sources ont indiqué que la faille pouvait conduire à une compromission de l’appareil sous Android dans certaines conditions.

Même sans accès complet à l’appareil, le code malveillant pourrait « tenter des superpositions, la capture d’entrées ou le scraping d’écran », ce qui pourrait cibler des identifiants personnels ou les phrases de récupération des portefeuilles crypto, avertissent les sources.

Comment se protéger

Les sources conseillent aux joueurs mobiles de mettre à jour tous les jeux basés sur Unity dès que les correctifs sont disponibles et d’éviter le sideloading, c’est-à-dire l’installation d’applications depuis des boutiques non officielles ou tierces, ou le téléchargement de fichiers APK depuis des sites web.

Les applications installées en sideloading n’ont pas été vérifiées par les systèmes de sécurité de Google Play, ce qui permet à des acteurs malveillants de distribuer des versions modifiées de jeux légitimes exploitant la faille Unity. De plus, ces applications ne recevront pas automatiquement les mises à jour de sécurité ou correctifs lorsque Unity publiera des correctifs.

Les utilisateurs doivent également vérifier les autorisations de leur appareil et désactiver les superpositions ou services d’accessibilité inutiles qui s’exécutent pendant les sessions de jeu.

Enfin, il est recommandé de pratiquer la ségrégation des risques, en conservant les portefeuilles crypto sur un appareil ou un compte séparé de celui utilisé pour le jeu.

Il s’agit d’une actualité en cours de développement, et d’autres informations seront ajoutées dès qu’elles seront disponibles.