Piratage : les voies de l’iPhone ne sont pas impénétrables

Combien d’iPhone peut-on infecter en deux ans et quelques ? Beaucoup, d’après Project Zero.

L’équipe de chercheurs constituée par Google a mis le doigt sur ce qui semble être une campagne massive d’espionnage.

Cette campagne s’appuie sur des sites web recevant « des milliers » de visiteurs par semaine. Piratés, ils permettent de diffuser un mouchard capable de récupérer, entre autres, des photos, des données de géolocalisation et des messages, y compris sur des services chiffrés.

Project Zero a découvert cinq méthodes d’infection exploitant 14 failles, essentiellement dans le noyau d’iOS et dans le navigateur Safari.
Aujourd’hui toutes corrigées*, elles ont probablement permis d’injecter le mouchard pendant plus de deux ans sur un grand nombre d’iPhone.

Communications non sécurisées

La plus « ancienne » des méthodes d’infection fonctionne avec iOS 10.0.1 (sorti en septembre 2016) à 10.1.1 (novembre 2016).
La vulnérabilité dont elle tire parti se trouve dans une fonction liée à un pilote graphique.

Une deuxième méthode repose sur une faille dans le noyau, au niveau du composant qui permet à un pilote de notifier l’accomplissement d’une opération. Elle touche iOS 10.3 (mars 2017) à 10.3.3 (juillet 2017). Apple l’a corrigée avec iOS 11.2 (décembre 2017).

La méthode utilisée pour iOS 11 (septembre 2017) à 11.4.1 (mars 2018) reposait sur la bibliothèque mettant en œuvre XPC. Celui-ci permet de gérer les communications entre les processus qui composent une application.

Pour iOS 12 (septembre 2017) à 12.1 (octobre 2018), une autre faille XPC a été utilisée, en combinaison avec une vulnérabilité dans le noyau.

La plus « récente » des méthodes concerne iOS 11.4.1 (juillet 2018) à 12.1.2 (décembre 2018). Elle exploite une fonction introduite en 2014 avec iOS 8 : « vouchers », destinée à transmettre des attributs arbitraires entre processus.

Pour disposer d’une première empreinte sur les iPhone, les pirates ont mis en œuvre des failles dans WebKit. Toutes permettent d’exécuter du code dans le processus de rendu WebContent, notamment en jouant sur le compilateur JavaScript.

Le mouchard se place dans le dossier /tmp de l’iPhone. Il se connecte toutes les minutes à un serveur de contrôle.
Étonnamment d’après de nombreux observateurs, les communications se font en HTTP non sécurisé et les adresses IP du serveur figurent dans le code du malware. Ce qui fait dire à certains que la campagne est peut-être le fait d’un État qui a « acheté » les exploits et maladroitement codé le mouchard.

* Les deux dernières l’ont été le 7 février 2019 avec iOS 12.1.4.

Photo d’illustration © Apple

Recent Posts

Visioconférence : trois solutions à la loupe

Dans son Magic Quadrant « Meeting Solutions » 2020, le cabinet Gartner passe en revue…

1 jour ago

Comment l’ascenseur mène sa révolution numérique

L’ascenseur n’est plus un équipement isolé et indépendant : connecté, augmenté, il devient « la colonne vertébrale…

2 semaines ago

MacBook : à quoi ressemblent les nouvelles gammes d’Apple… sans Intel

Apple lance ses premiers MacBook Air, MacBook Pro et Mac mini avec des processeurs Arm.…

2 semaines ago

Microsoft 365 : comment fonctionne le « score de productivité » ?

En test depuis plus d'un an sur sa suite bureautique cloud, le « score de…

4 semaines ago

Excel accélère sur les types de données personnalisés

Microsoft ouvre à une partie des utilisateurs d'Excel la possibilité de définir des types de…

1 mois ago

Navigateur : comment Edge va remplacer Internet Explorer

Microsoft commence une expérimentation pour remplacer progressivement Internet Explorer par Edge. Ce basculement automatique ne…

1 mois ago