Une opération infecte sans discernement les iPhones avec des logiciels espions

Des chercheurs affirment que des pirates présumés originaires d’États-nations ont infecté les Apple iPhones avec un logiciel espion pendant plus de deux ans, ce que des experts en sécurité ont appelé vendredi une défaillance de sécurité alarmante pour une entreprise dont la carte d’appel est la vie privée.

Une simple visite sur l'un des rares sites Web contaminés pourrait infecter un iPhone avec un implant capable d'envoyer les SMS, les e-mails, les photos et les données de localisation en temps réel du propriétaire du smartphone aux cyberpièces à l'origine de l'opération.

"C’est définitivement le cas de piratage sur iPhone le plus grave jamais signalé à la population, à cause du ciblage aveugle et de la quantité de données compromises par l’implant", a déclaré Jake Williams, ancien pirate du gouvernement américain, président de Rendition Security.

Annoncée jeudi par les chercheurs de Google, la dernière de ces vulnérabilités a été corrigée par Apple en février, mais seulement après que des milliers d'utilisateurs d'iPhone auraient été exposés pendant plus de deux ans.

Les chercheurs n'ont pas identifié les sites Web utilisés pour générer les logiciels espions ni leur emplacement. Ils n'ont pas non plus précisé qui était derrière le cyberespionnage ni quelle population était ciblée, mais les experts ont déclaré que l'opération avait pour caractéristique un effort d'un État-nation.

Williams a déclaré que l'implant de logiciel espion n'était pas conçu pour transmettre les données volées en toute sécurité, indiquant que les pirates informatiques ne craignaient pas de se faire prendre. Cela suggère qu'un État autoritaire était derrière tout cela. Il a spéculé que c'était probablement utilisé pour cibler les dissidents politiques.

Les données sensibles accessibles par les logiciels espions comprenaient les messages texte WhatsApp, iMessage et Telegram, Gmail, des photos, les contacts et la localisation en temps réel – essentiellement toutes les bases de données sur le téléphone de la victime. Bien que les applications de messagerie puissent chiffrer des données en transit, celles-ci sont lisibles au repos sur l'iPhone.

Le chercheur de Google, Ian Beer, a déclaré dans un blog publié jeudi soir que la découverte devrait dissiper toute idée qu'il en coûterait un million de dollars pour réussir à pirater un iPhone. Il s’agit du cas d’un dissident des Émirats arabes unis dont l’iPhone a été infecté en 2016 par des exploits dits de type «jour zéro», réputés pour leur prix si élevé.

"Zero day" fait référence au fait que de tels exploits sont inconnus des développeurs du logiciel affecté et qu'ils n'ont donc pas eu le temps de développer des correctifs pour le réparer.

La découverte, impliquant 14 de ces vulnérabilités, a été faite par les chercheurs de Google du Project Zero, qui traque les failles de sécurité des logiciels et des microprogrammes de microprocesseurs, indépendants de leur fabricant, que les criminels, les pirates informatiques et les agences de renseignement utilisent.

"Cela devrait servir de signal d'alarme aux gens", a déclaré Will Strafach, expert en sécurité mobile chez Sudo Security. "N'importe qui sur n'importe quelle plate-forme pourrait potentiellement être infecté par des logiciels malveillants."

Beer a déclaré que son équipe estimait que les sites Web infectés utilisés lors des "attaques aveugles de points d'eau" reçoivent des milliers de visiteurs par semaine. Il a déclaré que l'équipe avait rassemblé cinq chaînes d'exploits distincts couvrant le système iOS d'Apple dès la version 10, publiée en 2016.

Apple n'a pas répondu aux demandes de commentaires sur les raisons pour lesquelles elle n'a pas détecté les vulnérabilités par elle-même et si elle peut assurer aux utilisateurs qu'une telle attaque générale ne pourrait plus se reproduire. La confidentialité est au cœur de la marque Apple.

Ni Google ni Beer n'ont répondu aux questions concernant les assaillants ou les cibles, bien que Beer ait fourni un indice dans son billet de blog: "Être ciblé peut signifier simplement être né dans une certaine région géographique ou appartenir à un certain groupe ethnique."

Le responsable de la sécurité, Matt Lourens de Check Point Software Technologies, a qualifié le développement de révolutionnaire. Il a ajouté que si les propriétaires d'iPhone auparavant compromis par zéro jour étaient des cibles de grande valeur, un ensemencement plus répandu de logiciels espions à un coût inférieur par infection est désormais possible.

"Cela devrait absolument remodeler la façon dont les entreprises considèrent l'utilisation d'appareils mobiles pour leurs applications, ainsi que les risques de sécurité que cela présente pour l'individu et / ou l'organisation", a déclaré Lourens dans un courrier électronique.

Dans son article sur le blog, le chercheur Google Beer a averti que la sécurité numérique absolue ne pouvait être garantie.

Les utilisateurs de téléphones intelligents doivent finalement "être conscients du fait que l’exploitation en masse existe toujours et se comporter en conséquence"; a-t-il écrit, "considérant leurs appareils mobiles comme faisant à la fois partie intégrante de leur vie moderne, mais aussi comme des appareils qui, une fois compromis, peuvent télécharger chacune de leurs actions dans une base de données pour éventuellement être utilisée à leur encontre".

© 2019 L'Associated Press. Tous les droits sont réservés.